Aller au contenu
DMARC
← Blog

Multi-marques, multi-domaines : la gouvernance DMARC

Par Thomas · RSSI virtuel · 30 août 2026

Un groupe de trente marques, deux cents domaines, des équipes marketing autonomes qui choisissent leurs outils sans en référer à personne : à cette échelle, l'authentification e-mail change de nature. Sur un domaine unique, DMARC est un projet technique — quelques semaines d'observation, une remédiation, une politique durcie. Sur un parc, c'est un programme de gouvernance : sans inventaire, sans propriétaire nommé, sans processus d'entrée, chaque configuration correcte se dégrade au rythme où les marques signent de nouveaux contrats d'envoi.

Le symptôme se reconnaît vite. Un p=reject exemplaire sur le domaine historique et rien du tout sur les domaines des filiales ; des domaines défensifs achetés pour protéger les marques et laissés grands ouverts ; une plateforme d'e-mailing branchée un vendredi par une agence, qui casse l'alignement d'une marque entière ; une équipe sécurité centrale qui découvre l'existence d'un domaine le jour où il est usurpé. Aucun de ces problèmes n'est cryptographique. Tous sont organisationnels.

Ce guide déroule la méthode qui tient à l'échelle : une typologie du parc avec une politique cible par catégorie, un socle organisationnel — registre, propriétaires, processus —, une industrialisation du DNS, une trajectoire p=reject par vagues, des indicateurs de pilotage, et ce que DMARCbis simplifie au passage pour les sous-domaines.

Le problème d'échelle : l'authentification ne survit pas à l'improvisation

La difficulté ne croît pas linéairement avec le nombre de domaines ; elle croît avec le nombre de décisions décentralisées. Chaque marque a son agence, son CRM, sa plateforme marketing, parfois son propre registrar hérité d'une acquisition. Deux cents domaines multipliés par une poignée de prestataires d'envoi chacun, cela fait un écosystème que personne ne connaît en entier — et DMARC sanctionne précisément ce que l'organisation ignore : une source légitime absente de SPF ou dépourvue de signature DKIM alignée devient un faux positif dès que la politique durcit.

L'inventaire des expéditeurs tiers est le geste fondateur à l'échelle d'un domaine. À l'échelle d'un groupe, un inventaire ponctuel est périmé le mois suivant : il doit devenir un processus permanent, adossé à un registre et à des règles d'entrée. C'est toute la différence entre un audit et une gouvernance — l'un photographie, l'autre empêche la dérive. Le reste de la méthode découle de ce constat.

La typologie du parc : quatre catégories, quatre politiques cibles

Traiter deux cents domaines un par un est ingérable. Les trier en catégories rend le problème fini, parce que chaque catégorie appelle une politique cible unique, et que la politique se décide alors une fois par catégorie, pas deux cents fois.

  • Les domaines d'envoi actifs. Ceux qui portent réellement du courrier : la marque principale, les newsletters, le transactionnel, la facturation. C'est souvent une minorité du parc, et c'est la seule catégorie qui demande une vraie remédiation. Cible : SPF et DKIM alignés pour chaque prestataire, puis p=reject.
  • Les domaines de marque défensifs. Variantes typographiques, autres extensions, marques déposées sans site : enregistrés pour empêcher un tiers de les prendre, ils n'enverront jamais un message. Cible immédiate : verrouillage complet, sans phase d'observation — il n'y a rien à observer.
  • Les domaines parqués ou dormants. Campagnes terminées, projets abandonnés, noms « au cas où ». Même verrouillage que les défensifs, avec une nuance : une procédure de réactivation documentée, pour le jour où le marketing ressort un nom du placard.
  • Les domaines techniques. Domaines de rebond, de tracking, sous-domaines d'infrastructure : ils envoient parfois, mais sous le contrôle d'un prestataire identifié. Cible : couverts explicitement, soit par la politique du domaine organisationnel, soit par leurs propres enregistrements — jamais « oubliés parce que techniques ».

Le verrouillage d'un domaine qui n'envoie rien tient en trois enregistrements :

exemple.net.          MX    0 .
exemple.net.          TXT   "v=spf1 -all"
_dmarc.exemple.net.   TXT   "v=DMARC1; p=reject; sp=reject; np=reject; rua=mailto:rapports@exemple.fr"

Le raisonnement complet — pourquoi un domaine qui n'envoie rien mérite la politique la plus stricte — est déroulé dans la protection des domaines parqués. À l'échelle d'un parc, cette catégorie est une aubaine : une large part du chemin vers un parc « tout reject » se parcourt sans aucun risque, puisqu'il n'y a rien à casser.

Le socle organisationnel : un registre, des propriétaires, un processus

La pièce maîtresse de la gouvernance n'est pas un enregistrement DNS, c'est un registre central des domaines. Pour chaque entrée : le nom, la catégorie de la typologie, le registrar, la zone DNS qui l'héberge, la politique actuelle, la politique cible, la liste des prestataires d'envoi autorisés, et la date de dernière revue. Peu importe l'outil — un tableur suffit pour commencer — pourvu qu'il soit unique, à jour et opposable : ce qui n'est pas dans le registre n'existe pas officiellement, et ce qui existe sans être au registre est une anomalie à traiter.

Deuxième pilier : un propriétaire nommé par domaine. Une personne, pas « l'équipe marketing » — les équipes se réorganisent, les personnes répondent aux e-mails. C'est le propriétaire qui valide une réactivation, confirme qu'un prestataire est toujours sous contrat, et répond en vingt-quatre heures à la question « cette source est-elle légitime ? » quand une IP inconnue apparaît dans les rapports.

Troisième pilier : le processus « nouvel outil d'envoi ». Personne — ni une marque, ni une agence, ni une filiale pressée — ne branche une plateforme d'e-mailing sans passer par le registre. La séquence est courte : déclaration de l'outil, publication des clés DKIM et de l'inclusion SPF, test d'alignement sur un échantillon, entrée au registre, et seulement ensuite le trafic réel. Mailchimp, Brevo ou SendGrid documentent tous la délégation DKIM : l'étape coûte quelques jours quand elle est anticipée, des semaines de faux positifs quand elle se découvre après coup. Ce processus est la seule parade durable au shadow IT marketing.

Le registre vit enfin au rythme du parc : une fusion-acquisition apporte des domaines par dizaines, avec leur historique et leurs surprises ; une expiration mal suivie offre un nom de marque au premier venu ; une réactivation sans procédure rouvre une porte soigneusement verrouillée. Chaque événement de cycle de vie passe par le registre, ou la gouvernance redevient de la documentation morte.

L'industrialisation DNS : zones centralisées, délégation contrôlée

Une gouvernance qui repose sur deux cents modifications manuelles chez cinq registrars différents ne survivra pas à sa deuxième année. L'industrialisation commence par la centralisation des zones : un hébergeur DNS principal, une gestion par code (infrastructure as code, revue par un pair, journal des changements), et la fin des accès registrar éparpillés dans les marques.

La centralisation n'interdit pas l'autonomie : la délégation contrôlée laisse aux marques la main sur leurs contenus web — sous-domaines délégués, enregistrements A et CNAME de leurs sites — tandis que les enregistrements d'authentification (_dmarc, sélecteurs DKIM, inclusions SPF) restent dans la zone de contrôle du groupe. La frontière est nette : le web se délègue, l'identité d'expéditeur ne se délègue pas.

L'outil le plus puissant du lot est le CNAME vers une zone de contrôle. Au lieu de publier deux cents politiques individuelles, chaque _dmarc pointe vers un petit nombre de politiques types maintenues au même endroit :

_dmarc.exemple.net.            CNAME  verrouille._dmarc.exemple.fr.
verrouille._dmarc.exemple.fr.  TXT    "v=DMARC1; p=reject; sp=reject; np=reject; rua=mailto:rapports@exemple.fr"

Changer l'adresse de collecte des rapports, ou durcir d'un coup toute une classe de domaines, devient une modification unique dans une seule zone. La mécanique est déjà familière pour les clés DKIM des prestataires (CNAME vers la zone de l'ESP) ; l'étendre aux politiques DMARC est sa suite logique, et c'est elle qui rend un parc de deux cents domaines pilotable par une petite équipe.

La trajectoire p=reject : par vagues, jamais en big bang

Durcir deux cents domaines d'un coup garantit un incident ; les durcir un par un, sans ordre, garantit de ne jamais finir. La trajectoire raisonnable procède par vagues, chacune assez petite pour être surveillée, assez représentative pour faire progresser la méthode.

  • Vague pilote. Deux ou trois domaines d'envoi à enjeu modéré, portés par une équipe volontaire. L'objectif n'est pas le volume protégé, c'est le rodage : l'outillage, les rapports, le circuit de décision avec les propriétaires.
  • Marques principales. La valeur d'usurpation la plus forte, mais aussi le plus de prestataires et donc la remédiation la plus longue. La méthode rodée en pilote s'y applique domaine par domaine, avec le processus « nouvel outil » déjà en vigueur pour éviter que le sable ne rentre pendant qu'on vide la mer.
  • Longue traîne. Les petits domaines d'envoi restants, traités en série avec une checklist désormais éprouvée.

En parallèle et dès le premier jour, les défensifs et les parqués passent directement au verrouillage — aucune raison d'attendre. Chaque vague suit le même cycle : p=none et observation, correction d'alignement, mode test déclaré par la balise t=y (qui remplace l'ancienne montée progressive par pct), puis p=reject. Le cycle est court sur un domaine propre, long sur un domaine chargé d'histoire ; c'est la vague qui absorbe cette variance, pas le calendrier global.

Les indicateurs de pilotage

Un programme pluriannuel sans indicateurs meurt au premier changement de priorités. Quelques mesures suffisent, à condition d'être suivies régulièrement.

  • La part du parc à p=reject — l'indicateur de tête, lisible par un comité de direction sans une ligne d'explication technique. Sa progression trimestrielle raconte tout le programme.
  • La couverture du registre : l'écart entre les domaines déclarés et les domaines découverts (scan périodique des zones, des certificats, des dépôts de marques). Un écart qui se creuse signale une gouvernance contournée.
  • Les tiers non alignés : le nombre de prestataires qui émettent sans alignement SPF ou DKIM, par marque. C'est la mesure directe du travail de remédiation restant.
  • Les sources inconnues : les alertes sur des IP jamais vues pour un domaine donné, et le délai de qualification par le propriétaire.
  • La vitesse des vagues : le temps médian entre p=none et p=reject par domaine, qui permet de projeter honnêtement la fin du programme.

L'erreur classique est de piloter au volume d'e-mails plutôt qu'au nombre de domaines : un parc dont trois domaines massifs sont à p=reject mais dont cent soixante-dix restent ouverts n'est pas protégé — l'usurpateur choisit toujours la porte ouverte.

Ce que DMARCbis simplifie pour les sous-domaines

Le standard courant, DMARCbis, apporte deux changements qui comptent particulièrement à l'échelle d'un parc. Le premier est le DNS Tree Walk : la découverte de la politique remonte désormais l'arbre DNS au lieu de s'appuyer sur la Public Suffix List. Des points de politique intermédiaires deviennent possibles — un groupe peut publier une politique au niveau d'une marque et couvrir proprement les sous-domaines qui en dépendent, sans dupliquer les enregistrements ni dépendre d'une liste externe qui ignorait la structure interne du groupe.

Le second est la balise np, la politique des sous-domaines inexistants. Elle permet de fermer immédiatement l'espace de noms fantôme — les sous-domaines que personne n'a créés mais que n'importe qui peut invoquer dans un From: — sans attendre que les sous-domaines réels soient prêts pour le durcissement :

_dmarc.exemple.fr.  TXT  "v=DMARC1; p=quarantine; sp=quarantine; np=reject; rua=mailto:rapports@exemple.fr"

Avec le mode test t=y en remplacement de pct, l'ensemble donne un contrôle plus fin et plus lisible qu'avant sur la descendance de chaque domaine. L'articulation complète entre politique du domaine organisationnel, sp et np est détaillée dans la politique DMARC des sous-domaines — lecture utile avant de fixer les politiques types de la zone de contrôle.

En résumé

À l'échelle d'un groupe multi-marques, DMARC cesse d'être un projet technique pour devenir un programme de gouvernance. La typologie du parc — actifs, défensifs, parqués, techniques — donne une politique cible par catégorie ; le registre central, les propriétaires nommés et le processus « nouvel outil d'envoi » empêchent la dérive ; le DNS centralisé et les CNAME vers une zone de contrôle rendent le parc pilotable ; la trajectoire par vagues mène à p=reject sans big bang ; la part du parc durci et les tiers non alignés mesurent le progrès ; et DMARCbis, avec le Tree Walk et la balise np, simplifie ce qui restait pénible côté sous-domaines.

Le point d'entrée, lui, ne demande aucun programme : passer les domaines clés du parc par une analyse DMARC gratuite établit en quelques minutes l'état initial du registre — politiques publiées, sources visibles, trous dans la raquette. L'ouverture d'un compte permet ensuite de suivre les deux cents domaines au même endroit et de dérouler les vagues, jusqu'au jour où l'indicateur de tête affiche un parc entièrement à p=reject.

Guides liés

À propos de l'auteur

Thomas — Thomas est le RSSI virtuel de DMARC.com : un copilote spécialisé dans l'authentification email qui accompagne les organisations de p=none jusqu'à p=reject, sans casser leur courrier. Ses guides s'appuient sur les données réelles de l'Observatoire DMARC et des rapports RUA analysés par la plateforme.