DMARC : vos e-mails à Monaco

Trois enregistrements DNS décident si votre e-mail arrive

La plupart des entreprises monégasques découvrent l'authentification des e-mails par le mauvais bout. Un client affirme n'avoir jamais reçu le devis. Une newsletter qui atterrissait en boîte de réception part soudain en indésirables. Ou pire : un fournisseur appelle au sujet d'une facture que votre société n'a jamais envoyée.

Ces trois problèmes ont la même origine : trois petits enregistrements dans le DNS de votre domaine, appelés SPF, DKIM et DMARC. Ce n'est pas une option marketing. C'est le mécanisme par lequel Gmail, Outlook et tous les autres fournisseurs de messagerie déterminent si un message se présentant comme venant de votre domaine vient réellement de vous.

Si ces enregistrements sont absents, mal configurés ou réglés sur une politique qui ne fait rien, deux conséquences suivent. Votre courrier légitime est traité avec méfiance. Et n'importe qui dans le monde peut envoyer des e-mails qui semblent provenir de votre adresse, sans que rien ne l'en empêche.

Cela se corrige en une semaine. La plupart des sociétés ici n'ont simplement jamais regardé.

Pourquoi les règles se sont durcies, et pourquoi elles ne s'assoupliront pas

Pendant des années, l'authentification était facultative dans les faits. Cela a changé en 2024, lorsque Google et Yahoo ont imposé des exigences aux expéditeurs en volume, puis de nouveau lorsque Microsoft a appliqué des règles comparables aux gros expéditeurs vers les adresses Outlook et Hotmail.

Les exigences actuelles se ressemblent d'un fournisseur à l'autre. Si vous envoyez à grande échelle — le seuil couramment cité tourne autour de 5 000 messages par jour vers les adresses d'un même fournisseur — il vous faut SPF et DKIM en place, un enregistrement DMARC publié, un domaine d'expéditeur aligné avec votre authentification, une désinscription en un clic sur les e-mails marketing, et un taux de plaintes maintenu sous environ 0,3 %.

Deux détails comptent plus que le titre. D'abord, les fournisseurs sont passés d'un filtrage discret à un rejet pur et simple : un rebond dur, pas un dossier spam. Ensuite, et c'est le point le plus pertinent à Monaco : les seuils de volume définissent qui subit une application stricte, pas qui est évalué. Un family office de douze personnes qui envoie quarante e-mails par jour est jugé sur les mêmes signaux. Il échoue simplement plus silencieusement.

Ce que fait réellement chaque enregistrement

SPF publie la liste des serveurs autorisés à envoyer du courrier pour votre domaine. Si un message arrive d'un serveur absent de cette liste, le destinataire sait que quelque chose cloche.

DKIM ajoute une signature cryptographique à chaque message, adossée à une clé publiée dans votre DNS. Elle prouve que le message vient bien de votre domaine et n'a pas été altéré en route.

DMARC relie les deux, et c'est celui qui manque le plus souvent. Il indique aux serveurs destinataires deux choses : quoi faire des messages qui échouent à SPF et DKIM (p=none, p=quarantine ou p=reject), et où envoyer les rapports sur les tentatives d'usage de votre domaine.

Cette fonction de reporting est la moitié sous-estimée. Un DMARC en p=none ne bloque rien, mais il ouvre un flux de données qui vous dit précisément qui envoie du courrier au nom de votre domaine — y compris les systèmes que vous aviez oubliés, et ceux que vous n'avez jamais autorisés.

Le piège de l'alignement

C'est ici que la plupart des entreprises monégasques échouent, et le problème n'est pas l'enregistrement lui-même.

Une PME typique de la Principauté envoie depuis plus d'endroits qu'elle ne l'imagine : Microsoft 365 ou Google Workspace pour le courrier quotidien, une plateforme de newsletter, le formulaire de contact du site, un outil de réservation ou un CRM, un logiciel comptable qui expédie les factures, et souvent une agence qui envoie pour le compte de la société.

Chacun de ces outils est un expéditeur pour votre domaine. DMARC exige un alignement : le domaine visible dans le champ De doit correspondre au domaine qui a authentifié le message. Quand une plateforme signe le courrier avec son propre domaine plutôt que le vôtre, le message passe techniquement DKIM mais échoue à l'alignement, et DMARC le considère comme non authentifié.

C'est la raison numéro un pour laquelle une société active l'application stricte et casse aussitôt sa propre facturation ou sa newsletter. C'est aussi pourquoi l'inventaire n'est pas une étape facultative. Avant de changer la moindre politique, il vous faut la liste complète de chaque système qui envoie du courrier en votre nom, chacun configuré pour signer avec votre domaine. Si votre dispositif d'e-mail marketing et CRM s'est construit au fil des années, attendez-vous à trouver au moins un expéditeur dont personne ne se souvient.

Usurpation, fraude à la facture et l'échéance de septembre 2026

Le profil économique de Monaco fait de ce sujet bien plus qu'une question de délivrabilité. Gestion de patrimoine, immobilier, yachting et hôtellerie fonctionnent tous sur des transactions à forte valeur conclues par e-mail entre parties qui ne se rencontrent parfois jamais. C'est exactement le profil visé par les fraudes au virement et aux fausses factures.

Un domaine non protégé rend la tâche triviale. L'attaquant n'a rien à compromettre : il envoie simplement un message affirmant venir de votre adresse comptable, parce que rien, de votre côté, ne dit le contraire. Une politique DMARC en p=reject n'arrête pas toutes les variantes de cette fraude, mais elle ferme la voie la plus directe.

Le calendrier mérite attention. L'obligation monégasque de facturation électronique structurée commence à s'appliquer à partir du 1er septembre 2026, par paliers selon la taille de l'entreprise. À mesure que la facturation devient plus systématique et automatisée, le courrier lié aux factures devient une cible plus attrayante — et une usurpation plus coûteuse. Les cabinets dont le site porte des relations clients sensibles, logique habituelle des sites de gestion de patrimoine, devraient traiter la protection du domaine dans le même chantier.

Passer à l'application stricte sans rien casser

La séquence est ennuyeuse et elle fonctionne.

Publiez DMARC en p=none avec une adresse de rapport, et laissez tourner deux à quatre semaines. Lisez les rapports — via un outil de supervision, car le XML brut est illisible. Construisez l'inventaire complet des expéditeurs à partir de ce que vous voyez, puis corrigez SPF et l'alignement DKIM pour chaque source légitime, une par une. Passez ensuite en p=quarantine, d'abord sur un pourcentage du trafic, et observez. Alors seulement, passez en p=reject.

Sauter directement à p=reject, c'est découvrir que le logiciel comptable était le seul expéditeur jamais configuré. Ne le faites pas la semaine où vous lancez une campagne.

Ensuite, entretenez. Chaque nouvel outil ajouté par la suite est un nouvel expéditeur, et les enregistrements DNS dérivent quand les plateformes changent d'infrastructure. Cela relève de la même routine que le reste de votre maintenance de site web, pas d'un projet ponctuel classé et oublié.

Ce qu'il faut faire ce mois-ci

Vérifiez ce que votre domaine publie aujourd'hui — une interrogation DMARC prend quelques secondes. S'il n'y a aucun enregistrement, publiez-en un en p=none dès aujourd'hui : le risque est nul et les données commencent à affluer. Si l'enregistrement existe mais stagne en p=none depuis un an — le cas le plus fréquent ici —, vous avez la visibilité sans la protection.

Les modifications DNS sont simples pour qui les pratique régulièrement, et faciles à rater subtilement sinon : un seul enregistrement SPF mal formé peut dégrader la remise de tous vos messages. Si votre activité se joue par e-mail, intégrez ce chantier à une revue de stratégie digitale plutôt que de le traiter comme une corvée informatique.

Besoin d'un audit de l'authentification e-mail de votre domaine et d'un passage sécurisé à l'application stricte ? Contactez-nous — nous vous dirons où vous en êtes avant de changer quoi que ce soit.