Configurer DMARC avec Amazon SES

Amazon SES authentifie correctement dès la configuration de base — mais avec les réglages par défaut, votre SPF ne s’alignera jamais. C’est le point que la plupart des configurations SES manquent, et il ne se voit que dans les rapports.

Easy DKIM

Trois CNAME, générés par SES à la vérification du domaine :

._domainkey  CNAME  .dkim.amazonses.com
._domainkey  CNAME  .dkim.amazonses.com
._domainkey  CNAME  .dkim.amazonses.com

SES signe alors chaque message avec une clé de 2048 bits, sans autre intervention. Les jetons sont propres à votre identité de domaine : ils ne se recopient pas d’un compte à l’autre.

Le domaine MAIL FROM, la partie que tout le monde saute

Par défaut, SES expédie avec sa propre adresse d’enveloppe, sur amazonses.com. Le SPF passe donc — ce sont bien les serveurs d’Amazon — mais il valide le domaine d’Amazon, pas le vôtre. Pour DMARC, c’est un échec d’alignement.

La solution est prévue par SES : déclarer un domaine MAIL FROM personnalisé, un sous-domaine à vous, par exemple mail.votredomaine.com. Il demande deux enregistrements :

• un MX, pour recevoir les rebonds et les plaintes que les fournisseurs vous renvoient ;
• un TXT SPF propre à ce sous-domaine, autorisant SES.

À partir de là, l’adresse d’enveloppe est un sous-domaine du vôtre, et l’alignement souple le fait correspondre au domaine du De:. SPF et DKIM alignent tous les deux.

DMARC

Publiez la politique en observation sur _dmarc.votredomaine.com :

v=DMARC1; p=none; rua=mailto:votre-adresse@votredomaine.com

Durcissez seulement une fois tous vos expéditeurs identifiés. La progression, palier par palier.

Erreurs fréquentes avec Amazon SES

• S’arrêter à Easy DKIM. L’envoi fonctionne, DMARC passe grâce à DKIM seul, et le jour où un transfert casse la signature il ne reste rien pour rattraper.
• Oublier le MX sur le sous-domaine MAIL FROM. Les rebonds partent alors dans le vide : vous perdez la visibilité sur les adresses mortes, et votre réputation avec.
• Le bac à sable. Un compte SES neuf ne peut écrire qu’à des adresses vérifiées ; la sortie du bac à sable se demande séparément.
• Les identités sont régionales. Un domaine vérifié dans une région ne l’est pas dans une autre — et les jetons DKIM diffèrent.

Une fois en place, Clarsend lit vos rapports et vous montre ce qui passe, ce qui échoue, et qui envoie sans que vous le sachiez.