Comment le confirmer
Demandez à la personne qui a reçu le message suspect de vous transférer l’en-tête complet, pas seulement une capture d’écran. Regardez le champ Return-Path et le résultat SPF/DKIM indiqué par son fournisseur de messagerie — pas le seul « De: » affiché, qui peut être falsifié sans qu’aucun enregistrement ne soit réellement usurpé.
Distinguez deux situations très différentes : quelqu’un qui écrit votre nom dans le champ From: depuis son propre serveur (c’est l’usurpation classique, et DMARC l’arrête), et quelqu’un qui a compromis un compte réel chez vous (DMARC n’y peut rien, les messages sont authentiquement les vôtres). Le premier cas se voit dans vos rapports ; le second se traite en changeant des mots de passe.
Ce qui ne suffit pas
Signaler le message comme spam protège la boîte de son destinataire. Ça ne protège ni votre réputation de domaine, ni le prochain destinataire visé par le même envoi.
Ce qui arrête vraiment ça
Un DMARC en p=reject, aligné avec SPF et DKIM, fait rejeter le message avant qu’il n’atteigne une boîte de réception — chez les fournisseurs qui appliquent la politique, ce qui inclut les plus grands.
Le piège du passage direct en reject
Sans avoir d’abord observé ses propres rapports en p=none, on risque de bloquer ses propres envois légitimes qu’on n’avait pas identifiés — un outil marketing oublié, un script interne, un prestataire qui envoie en votre nom depuis des années sans que personne n’y pense.
La bonne séquence : publier p=none avec une adresse de rapports, laisser tourner deux à quatre semaines, identifier chaque expéditeur, corriger ce qui doit l’être, puis durcir. Le détail de chaque palier. Et si les rapports vous paraissent illisibles, commencez par apprendre à les lire.
Clarsend vous montre, avant de passer en reject, la liste complète de qui envoie déjà en votre nom — légitime ou non.