Rapports DMARC : les comprendre et les ranger avec un filtre Gmail

Publié le 06 novembre 2026

Un matin, votre boîte mail reçoit un message de Google intitulé « Report domain: votre-domaine.fr Submitter: google.com Report-ID: … », avec une pièce jointe compressée. Le lendemain, Microsoft envoie le même genre de courrier, puis Yahoo, puis d’autres. Pas de texte, pas d’explication, juste un fichier. Phishing ? Piratage ? Rien de tout cela : ce sont des rapports DMARC agrégés, et ils sont plutôt une bonne nouvelle.

Voici ce qu’ils racontent, comment les lire en deux minutes, et surtout comment les faire disparaître de votre boîte de réception sans les perdre, grâce à une fonction de Gmail que presque personne n’utilise : l’import de filtres depuis un fichier XML.

DMARC en trente secondes

Quand un serveur reçoit un mail qui prétend venir de votre-domaine.fr, il vérifie deux choses :

SPF : l’adresse IP qui a envoyé le message figure-t-elle dans la liste des serveurs autorisés par votre domaine ?
DKIM : le message porte-t-il une signature cryptographique valide, posée par un serveur qui détient la clé de votre domaine ?

DMARC chapeaute les deux. Il exige qu’au moins un de ces contrôles réussisse et qu’il soit « aligné », c’est-à-dire qu’il porte sur le même domaine que celui affiché dans le champ « De : » que voit le destinataire. Il dit aussi au serveur quoi faire en cas d’échec, à travers un simple enregistrement DNS de type TXT, placé sur _dmarc.votre-domaine.fr :

v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.fr

Le paramètre p fixe la politique : none (on observe seulement), quarantine (direction les indésirables) ou reject (refus pur et simple). Et c’est le paramètre rua qui explique vos mails mystérieux.

Pourquoi vous recevez ces rapports

rua signifie reporting URI for aggregate reports. Il demande à tous les grands fournisseurs de messagerie d’envoyer, en général une fois par jour, un bilan des messages qu’ils ont reçus au nom de votre domaine. Si vous les recevez, c’est que votre adresse figure dans ce paramètre.

Souvent, vous ne l’avez pas ajouté vous-même. Depuis février 2024, Gmail et Yahoo exigent un enregistrement DMARC des expéditeurs qui envoient beaucoup de mails, et de nombreux hébergeurs, prestataires ou assistants de configuration en posent un d’office, avec l’adresse de contact du domaine en rua. Les rapports arrivent alors sans prévenir.

Ce qu’il faut retenir : un rapport n’est pas une alerte. Google vous envoie le sien même si tout va parfaitement bien. C’est un relevé, pas un signalement.

Lire un rapport sans outil

La pièce jointe est un fichier XML compressé : en .zip chez Google, en .gz chez Microsoft et chez la plupart des autres. Décompressez-le et ouvrez-le dans un navigateur ou un éditeur de texte. Sous l’en-tête, qui indique l’expéditeur du rapport et la période couverte (en horodatage Unix, que n’importe quel convertisseur en ligne traduit en date), chaque bloc <record> ressemble à ceci :

<record>
  <row>
    <source_ip>203.0.113.25</source_ip>
    <count>14</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>pass</dkim>
      <spf>fail</spf>
    </policy_evaluated>
  </row>
  <identifiers>
    <header_from>votre-domaine.fr</header_from>
  </identifiers>
</record>

Traduction : 14 messages sont partis de l’adresse IP 203.0.113.25 au nom de votre domaine. La signature DKIM était bonne, le contrôle SPF a échoué, mais comme un seul des deux suffit, DMARC est validé. disposition indique ce que le destinataire a fait des messages : none, ils ont été livrés normalement.

Les trois cas à reconnaître

Tout est en pass depuis les IP de votre hébergeur de messagerie : c’est le cas normal, il n’y a rien à faire.
SPF en échec, DKIM en réussite : très fréquent avec les transferts automatiques et les listes de diffusion, qui renvoient votre message depuis leur propre serveur. Tant que DKIM tient, le message passe.
Tout en fail depuis une IP inconnue : soit un outil légitime que vous avez oublié de déclarer (logiciel de newsletter, CRM, site web qui envoie ses notifications), soit quelqu’un qui usurpe votre domaine. Une recherche sur l’IP permet en général de trancher.

Si vous gérez plusieurs domaines ou que les volumes deviennent importants, des services spécialisés (Postmark, dmarcian, EasyDMARC, entre autres) transforment ces fichiers en tableaux de bord lisibles, souvent avec une offre gratuite. Il suffit alors de faire pointer le rua vers l’adresse qu’ils vous fournissent.

L’astuce : un filtre Gmail importé depuis un fichier XML

Les rapports sont utiles le jour où quelque chose cloche, mais ils n’ont rien à faire dans votre boîte de réception au quotidien. La solution évidente consiste à créer un filtre à la main. Il en existe une plus rapide et plus facile à partager : Gmail sait importer des filtres tout prêts depuis un fichier XML. C’est le même format que celui qu’il produit quand on exporte ses filtres, et c’est une façon très pratique de réinstaller une règle sur un autre compte en quelques clics.

Copiez le texte ci-dessous dans un fichier texte que vous nommez filtre-dmarc.xml :

<?xml version='1.0' encoding='UTF-8'?>
<feed xmlns='http://www.w3.org/2005/Atom' xmlns:apps='http://schemas.google.com/apps/2006'>
  <title>Mail Filters</title>
  <id>tag:mail.google.com,2008:filters:1</id>
  <updated>2026-11-06T12:00:00Z</updated>
  <entry>
    <category term='filter'></category>
    <title>Mail Filter</title>
    <id>tag:mail.google.com,2008:filter:1</id>
    <updated>2026-11-06T12:00:00Z</updated>
    <content></content>
    <apps:property name='subject' value='&quot;Report domain&quot;'/>
    <apps:property name='hasAttachment' value='true'/>
    <apps:property name='label' value='Rapports DMARC'/>
    <apps:property name='shouldArchive' value='true'/>
    <apps:property name='shouldMarkAsRead' value='true'/>
    <apps:property name='shouldNeverSpam' value='true'/>
  </entry>
</feed>

Le critère repose sur l’objet « Report domain », que la norme DMARC recommande et que Google, Microsoft et la plupart des fournisseurs respectent, combiné à la présence d’une pièce jointe. Les actions rangent le message sous le libellé « Rapports DMARC », le sortent de la boîte de réception, le marquent comme lu et l’empêchent de partir dans les spams.

Importer le filtre

Dans Gmail, créez d’abord le libellé Rapports DMARC (dans la colonne de gauche, « Libellés », puis le bouton +).
Cliquez sur la roue dentée en haut à droite, puis sur Voir tous les paramètres.
Ouvrez l’onglet Filtres et adresses bloquées.
Tout en bas, cliquez sur Importer des filtres, choisissez votre fichier filtre-dmarc.xml, puis cliquez sur Ouvrir le fichier.
Gmail affiche le filtre trouvé. Cochez Appliquer les nouveaux filtres aux conversations existantes pour ranger d’un coup les rapports déjà reçus, puis validez avec Créer des filtres.

Le même fichier peut contenir plusieurs blocs <entry> : vous pouvez y regrouper toutes vos règles et les réinstaller en une fois sur un nouveau compte. Pour partir d’un exemple réel, sélectionnez un de vos filtres existants dans le même onglet et cliquez sur Exporter : Gmail vous donne le fichier XML correspondant.

Et si vous ne voulez plus du tout les recevoir ?

Ne supprimez surtout pas l’enregistrement DMARC : il protège votre domaine contre l’usurpation et conditionne la bonne livraison de vos mails chez Gmail et Yahoo. Retirez simplement le paramètre rua=… de l’enregistrement TXT _dmarc dans la zone DNS de votre domaine, ou remplacez-le par une adresse dédiée. Les rapports s’arrêteront dès que le changement se sera propagé, en général sous 24 à 48 heures.

Un conseil toutefois : gardez-les au moins quelques semaines, rangés dans leur libellé. C’est le seul moyen de vérifier que tous vos outils d’envoi sont correctement déclarés avant de durcir la politique de p=none à p=quarantine, puis à p=reject, la vraie protection contre ceux qui se feraient passer pour vous.