Comprendre les rapports agrégés DMARC — Ce que le XML vous raconte
· DMARC Analyzer Pro
Les rapports agrégés DMARC contiennent des données vitales sur votre posture de sécurité e-mail. Apprenez à lire ces rapports XML et ce qu'il faut rechercher.
Vous avez publié votre enregistrement DMARC, configuré une adresse RUA et les rapports affluent. Et maintenant ? Les fichiers XML qui arrivent dans votre boîte de réception — parfois des dizaines par jour — contiennent une mine d'informations, mais en tirer un sens manuellement est un défi.
Anatomie d'un rapport agrégé DMARC
Chaque rapport agrégé suit le même schéma XML. Au niveau supérieur, vous trouverez des métadonnées sur l'organisation déclarante (le serveur récepteur qui a généré le rapport), la période couverte par le rapport et votre politique DMARC publiée. En dessous, le rapport contient des éléments `` individuels, chacun représentant un groupe de messages provenant de la même IP source avec des résultats d'authentification identiques.
Chaque enregistrement inclut l'adresse IP source, le nombre de messages provenant de cette IP, la politique appliquée et les résultats d'authentification pour SPF et DKIM — y compris s'ils étaient alignés avec votre domaine.
Ce qu'il faut rechercher
La première chose à examiner est le ratio global de réussite/échec. Un domaine sain montrera la grande majorité des messages passant à la fois SPF et DKIM avec un alignement correct. Si vous constatez un nombre significatif d'échecs, vous devez enquêter sur les IP sources.
Examinez les IP sources des messages échoués. Sont-elles les vôtres ? Si une IP connue échoue au SPF, vous avez probablement un problème de configuration — peut-être un service d'envoi qui n'est pas inclus dans votre enregistrement SPF. Si les IP sont inconnues, elles pourraient appartenir à des services de transfert (qui peuvent légitimement casser le SPF) ou à des acteurs malveillants tentant d'usurper votre domaine.
Portez une attention particulière aux échecs d'alignement DKIM. Si un message passe le DKIM mais que le domaine signataire ne s'aligne pas avec votre domaine De, la vérification DKIM ne satisfera pas DMARC. C'est un problème courant avec les expéditeurs tiers qui signent avec leur propre domaine plutôt que le vôtre.
Le volume compte
Ne regardez pas seulement les taux de réussite/échec — regardez les volumes. Une seule IP envoyant des milliers de messages qui échouent à la fois SPF et DKIM est un indicateur fort d'une campagne d'usurpation. En revanche, de petits volumes d'échecs provenant de services de transfert de courrier bien connus sont généralement bénins.
Pourquoi vous avez besoin d'automatisation
Les rapports d'une seule journée peuvent contenir des données de centaines d'IP sources uniques à travers des dizaines d'organisations déclarantes. Multiplié sur des semaines et des mois, le volume devient ingérable sans outillage dédié.
DMARC Analyser Pro traite automatiquement vos rapports agrégés, extrait les points de données pertinents et les présente dans des tableaux de bord clairs. Vous obtenez une analyse des tendances, une détection des anomalies et des alertes — transformant le XML brut en intelligence actionnable sans effort manuel.