DMARC
← Blog

Les meilleurs outils pour analyser les rapports DMARC

Par Thomas · RSSI virtuel · 2026-07-16

Recevoir des rapports DMARC est une chose. Les exploiter en est une autre. Un rapport RUA brut est un XML compressé qu'il faut décompresser, lire, interpréter — et il en arrive potentiellement des dizaines par jour (un par FAI par domaine). Sans outil, ça devient vite ingérable. Ce guide passe en revue les catégories d'outils disponibles, leurs avantages, et comment choisir selon le contexte.

Pourquoi un outil est nécessaire

Un rapport DMARC Google pour un seul jour peut contenir 30 blocs <record> différents, chacun représentant une IP source et un résultat d'authentification. Multiplié par 5 domaines × 8 FAI qui envoient des rapports, cela fait potentiellement 1200 blocs par jour à lire. Manuellement, c'est quelques heures de travail. Avec un outil, c'est un tableau de bord mis à jour automatiquement.

Les outils DMARC remplissent plusieurs fonctions :

  • Parsing automatique : décompresser, parser, indexer les fichiers XML.
  • Agrégation : consolider les rapports de tous les FAI sur une période.
  • Enrichissement IP : identifier à quoi correspond une IP (Microsoft 365, Mailchimp, un hébergeur cloud…).
  • Alertes : signaler l'apparition d'une nouvelle source inconnue ou l'émergence d'un volume suspect.
  • Visualisation : tableaux de bord, courbes, cartes géographiques.

Les grandes catégories

Plateformes SaaS dédiées DMARC

C'est la catégorie la plus complète. Le principe est constant : le rua= pointe vers le prestataire, dont les serveurs reçoivent les rapports, les parsent et les restituent dans un tableau de bord. Plus aucun XML à ouvrir. La plupart de ces plateformes proposent une offre gratuite limitée et des plans payants qui montent avec le nombre de domaines et le volume de messages. L'avantage majeur : tout est géré — réception, stockage et enrichissement compris.

Ce qui les distingue entre elles est rarement visible sur la page tarifs. Quatre questions méritent d'être posées avant tout engagement. Combien de temps avant le premier rapport ? Il faut compter 24 à 48 h : c'est le rythme des FAI, pas celui de l'outil, et toute promesse de temps réel doit éveiller les soupçons. Que devient l'historique en cas d'arrêt de l'abonnement ? Beaucoup d'offres gratuites tronquent à 7 ou 30 jours glissants — la profondeur disparaît précisément au moment où elle commence à servir. Les données sont-elles exportables ? Un rua= se repointe en cinq minutes ; un an d'historique ne se re-télécharge pas. Où sont-elles hébergées ? Question sèche dès lors que l'organisation est soumise au RGPD ou à un cadre de souveraineté.

Outils en ligne gratuits (one-shot)

Pour analyser un rapport isolé sans configurer de plateforme, des outils en ligne permettent d'uploader un fichier XML et d'en voir une représentation lisible. C'est bien pour déboguer un rapport spécifique ou comprendre le format, pas pour un suivi continu.

Solutions auto-hébergées (open source)

Pour les organisations qui veulent garder leurs données en interne, des solutions open source permettent de déployer son propre parseur et tableau de bord DMARC. Cette option demande plus de travail technique (déploiement, maintenance) mais garde les rapports sur place — ce qui peut être une exigence quand des données sensibles sont manipulées ou qu'une politique de sécurité interdit les services cloud.

SIEM et outils existants

Quand un SIEM (Security Information and Event Management) comme Elastic, Splunk ou Azure Sentinel est déjà en place, il est possible d'y injecter les données DMARC via un parseur. C'est une intégration plus complexe, mais elle place les rapports DMARC dans un contexte de sécurité existant — utile pour corréler des échecs DMARC avec d'autres signaux de sécurité.

Comment choisir

Pour la plupart des PME et startups, une plateforme SaaS est le bon choix : rapide à démarrer, peu de maintenance, et le rapport qualité/prix est bon sur les offres gratuites. Au-delà de plusieurs dizaines de domaines, ou quand la conformité est critique, un outil payant avec des alertes et un historique long est justifié.

Pour une grande organisation avec des contraintes de confidentialité des données, une solution auto-hébergée peut s'imposer. Pour une utilisation occasionnelle ou un audit ponctuel, un outil en ligne one-shot suffit.

Le critère le plus important : l'outil identifie-t-il les sources ? Un rapport brut indique que 347 messages sont passés depuis 40.107.1.25. Un bon outil précise que c'est Microsoft Exchange Online Protection — ce qui change tout en termes d'action à prendre.

Ce que DMARC.com ajoute

Notre analyseur fait plus que parser des XML. Thomas, le RSSI virtuel, ajoute à la lecture des rapports un diagnostic : quelles sources sont à corriger, dans quel ordre, et pourquoi. L'analyse croise les résultats d'authentification avec l'identité des expéditeurs (ASN, nom de l'organisation, pays) pour produire un plan d'action, pas juste une visualisation.

Parmi les détails qui font la différence : Thomas identifie les sources qui signent en DKIM avec le mauvais domaine (signature valide mais non alignée), les sources SPF qui passent pour l'enveloppe mais pas pour le From:, et les IP inconnues qui méritent investigation.

Questions fréquentes

L'outil doit-il recevoir mes rapports directement ? La plupart des plateformes SaaS proposent de configurer le rua= chez elles pour recevoir directement les rapports. Pour garder les rapports en interne, il faut chercher les outils qui permettent l'upload manuel ou le polling d'une boîte IMAP.

Les outils gratuits sont-ils suffisants ? Pour débuter et pour un faible volume de domaines, oui. Les limites habituelles : historique court (7-30 jours), nombre de domaines limité, pas d'alertes. Pour un suivi professionnel sur la durée, un plan payant est justifié.

Est-ce que mes rapports contiennent des données sensibles ? Les rapports RUA (agrégés) ne contiennent pas de données personnelles des destinataires — uniquement des IPs et des statistiques. C'est à peu près RGPD-neutre. Les rapports RUF (forensiques) peuvent contenir des en-têtes de messages sensibles — à vérifier avant de les envoyer à un outil tiers (voir rapports forensiques et vie privée).

Combien de temps conserver les rapports ? Il n'y a pas d'obligation légale spécifique sur les rapports DMARC en tant que tels, mais dans une optique de sécurité, conserver 90 à 180 jours d'historique permet de détecter des dérives lentes (une source qui se dégrade progressivement) et d'avoir une base pour comparer avant/après un changement de configuration.

Puis-je utiliser l'adresse rua= dans mon propre domaine ? Oui, c'est même recommandé pour commencer : créer dmarc@exemple.fr ou une boîte dédiée, configurer le rua=, et lire les rapports à la main le temps de se familiariser. Ensuite, une plateforme prend le relais si le volume devient trop élevé.

Ce qu'un bon outil doit faire

Un outil DMARC est plus qu'un parseur XML. Au minimum, il doit apporter trois choses. D'abord, l'identification des sources : transformer les IPs des rapports en services reconnaissables (Microsoft Exchange, Brevo, un hébergeur…). Sans ça, un rapport ne dit rien d'actionnable. Ensuite, la consolidation : agréger les rapports de tous les FAI sur une même vue, pour voir d'un coup l'état des sources sur la semaine plutôt que de parcourir des dizaines de fichiers séparément. Enfin, un mécanisme d'alerte ou de signalement des anomalies : une nouvelle IP qui apparaît, un volume inhabituel d'échecs, une source connue qui cesse de passer — autant d'événements qui méritent l'attention et qu'une lecture manuelle une fois par semaine laisse filer.

Les outils les plus matures ajoutent à ça une couche de conseil : en plus de montrer quoi, ils disent quoi faire. C'est là que Thomas se distingue des outils purement visuels : il ne se contente pas d'un tableau de bord, il transforme les données en recommandations actionnables alignées sur le chemin de p=none à p=reject.

L'intégration dans le workflow de sécurité

DMARC n'est pas un projet ponctuel — c'est un monitoring continu. L'outil retenu doit donc s'intégrer dans le workflow existant, pas créer un nouveau silo à surveiller. Là où des revues de sécurité hebdomadaires existent déjà, l'outil DMARC doit permettre d'y apporter un résumé en une page, pas un XML de 200 lignes. Quand un SIEM ou un outil de ticketing est en place, l'outil idéal peut y pousser des alertes dès que quelque chose d'anormal apparaît. Et sur un parc de plusieurs domaines (filiales, marques, sous-domaines actifs), il doit consolider la vue sur tous sans imposer de basculer manuellement entre une douzaine d'interfaces.

Le critère ultime : après six mois d'utilisation, l'outil est-il consulté régulièrement parce qu'il apporte de la valeur, ou est-il tombé dans l'oubli faute d'avertir quand quelque chose mérite l'attention ? Un bon outil DMARC, comme un bon système d'alarme, se fait oublier quand tout va bien et se fait entendre quand quelque chose cloche.

Questions fréquentes

Un outil doit-il recevoir mes rapports directement ? La plupart des plateformes SaaS demandent à configurer le rua= chez elles pour recevoir directement les rapports. C'est la solution la plus simple, mais elle implique que les données de rapport partent chez un tiers. Quand c'est une contrainte, restent les outils qui permettent l'upload manuel ou le polling IMAP d'une boîte maîtrisée en interne.

Les outils gratuits suffisent-ils ? Pour débuter sur un ou deux domaines avec peu de volume : oui. Les limites habituelles des offres gratuites : historique court (7-30 jours), nombre de domaines limité, pas d'alertes. Pour un suivi professionnel durable, un plan payant est justifié dès que la visibilité quotidienne compte.

Puis-je utiliser plusieurs outils en parallèle ? Oui, rua= accepte plusieurs adresses. Certaines organisations gardent une boîte interne ET utilisent une plateforme externe — la boîte interne comme sauvegarde, la plateforme pour l'analyse. La limitation : le volume de rapports est multiplié par le nombre d'adresses.

Un outil peut-il surveiller plusieurs domaines à la fois ? Oui, et c'est souvent un critère de choix important. Deux points à vérifier : les limites de domaines par plan, et l'existence d'une vue consolidée multi-domaines. Un incident sur un domaine secondaire peut passer inaperçu si chaque domaine est géré dans un silo différent.

Thomas, l'outil qui donne la direction

Les outils DMARC donnent de la visibilité. Thomas, lui, donne de la direction. La différence entre voir que 12 messages ont échoué depuis 192.0.2.1 et savoir que c'est une ancienne IP d'un prestataire marketing qu'il faut désactiver — c'est exactement ce gap que Thomas comble.

Analyser un domaine gratuitement pour voir ses sources d'envoi identifiées et le plan d'action vers p=reject.

Appliquer DMARC, concrètement

Thomas, le RSSI virtuel de DMARC.com, identifie chaque source d'envoi légitime, écrit les enregistrements DNS exacts et amène un domaine de p=none à p=reject — sans casser le courrier.

Atteindre p=reject — gratuit

Guides liés

À propos de l'auteur

Thomas — Thomas est le RSSI virtuel de DMARC.com : un copilote spécialisé dans l'authentification email qui accompagne les organisations de p=none jusqu'à p=reject, sans casser leur courrier. Ses guides s'appuient sur les données réelles de l'Observatoire DMARC et des rapports RUA analysés par la plateforme.