[{"data":1,"prerenderedAt":189},["ShallowReactive",2],{"seo-verification":3,"blog-dmarcbis-rfc-9989-ce-qui-change-email-2026-fr":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-dmarcbis-rfc-9989-ce-qui-change-email-2026-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":27,"featuredImage":29,"bgImage":30,"posterImage":31,"relatedSolution":29,"intro":32,"sections":33,"ctaTitle":122,"ctaBody":123,"ctaButton":124,"ctaUrl":125,"relatedPosts":126},463,"dmarcbis-rfc-9989-ce-qui-change-email-2026",{"fr":10,"en":12,"ar":13,"es":14},"dmarcbis-rfc-9989-email-changes-2026","dmarcbis-rfc-9989-تغييرات-البريد-الإلكتروني-2026","dmarcbis-rfc-9989-cambios-correo-electronico-2026","DMARCbis RFC 9989 : ce qui change pour votre serveur mail","RFC 9989-9991 remplacent RFC 7489 (mai 2026). Tag np, suppression de pct, Tree Walk DNS : trois changements et comment adapter DNS et Postfix\u002FExim sur votre VPS.",8,0,false,"2026-10-17T00:00:00+00:00","2026-10-18T21:57:56+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},11,"E-mail professionnel","emails","bg-cyan-500\u002F10 text-cyan-400",[28],{"id":23,"name":24,"slug":25,"color":26,"icon":25},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fdmarcbis-rfc-9989-ce-qui-change-email-2026-poster.svg","En mai 2026, l'IETF a publié les RFC 9989, 9990 et 9991 qui forment ce que la communauté appelle DMARCbis — la révision majeure du standard DMARC après onze ans de RFC 7489. Ces nouvelles RFC sont sur le Standards Track, ce qui signifie qu'elles font désormais autorité. Si vous administrez un VPS avec Postfix ou Exim, trois changements concrets touchent vos enregistrements DNS et votre configuration avant que les grands MTA ne les appliquent systématiquement.",[34,38,46,49,76,79,82,89,92,119],{"type":35,"title":36,"body":37},"h2","Pourquoi DMARCbis et pourquoi maintenant","La RFC 7489, publiée en 2015, a défini DMARC comme un mécanisme expérimental (Informational). Onze ans de déploiement massif ont révélé trois limites : le tag `pct` permettait d'appliquer une politique à seulement X% des messages, ce qui diluait la protection et rendait imprévisible le comportement des récepteurs ; l'absence d'une politique dédiée aux sous-domaines inexistants laissait un flou exploitable pour le phishing ; et la dépendance à la Public Suffix List (PSL) pour identifier le domaine « organisationnel » créait des incohérences entre MTA, puisque la PSL est maintenue hors IETF et peut différer d'un implémenteur à l'autre. Les RFC 9989 (core DMARC), RFC 9990 (rapports agrégés) et RFC 9991 (rapports d'échec) répondent à chacun de ces points en élevant le standard au rang de Proposed Standard — la première étape du Standards Track, avec une voie balisée vers Full Standard.",{"type":39,"items":40},"ul",[41,42,43,44,45],"**RFC 9989 (core DMARCbis)** — remplace RFC 7489 et RFC 9091 ; introduit le tag `np`, supprime `pct`, remplace `pct` par le tag `t` (mode test), et définit le mécanisme Tree Walk DNS pour identifier le domaine parent sans recours à la PSL","**RFC 9990 (rapports agrégés)** — extrait et modernise la partie reporting agrégé de RFC 7489 ; les rapports XML compressés en GZIP restent le format mais le mécanisme de vérification des destinations externes est durci","**RFC 9991 (rapports d'échec)** — extrait la partie failure reporting ; met l'accent sur les risques vie privée et impose une limitation de débit chez les générateurs pour éviter les abus DoS","**Suppression de `pct`** — tout enregistrement DMARC existant portant `pct=50` (ou toute autre valeur) doit être relu : les récepteurs conformes RFC 9989 peuvent ignorer ce tag ou l'interpréter différemment","**Tree Walk DNS** — le récepteur remonte l'arbre DNS par requêtes successives (plafonné à 8) pour trouver la politique applicable, éliminant la dépendance à la PSL et améliorant la cohérence entre implémentations",{"type":35,"title":47,"body":48},"Prérequis avant d'intervenir","Avant toute modification, vérifiez que votre infrastructure remplit les bases : SPF et DKIM doivent être correctement configurés sur votre domaine émetteur — DMARCbis n'ajoute rien à ces mécanismes mais en dépend entièrement. Si SPF ou DKIM échouent, aucune politique DMARC ne sauvera votre délivrabilité. Vérifiez également que vos outils d'audit (dig, nslookup, un accès SSH à votre VPS) sont disponibles et que vous avez accès à votre zone DNS chez votre registrar ou votre panel d'administration. Enfin, disposez des rapports agrégés DMARC actuels (via `rua`) pour avoir une ligne de base du trafic légitime avant de durcir la politique.",{"type":50,"steps":51},"steps",[52,55,58,61,64,67,70,73],{"title":53,"body":54},"Auditez votre enregistrement DMARC actuel","Lancez `dig TXT _dmarc.votre-domaine.com` depuis votre VPS ou un terminal. Notez la valeur exacte de chaque tag : `v`, `p`, `sp`, `pct`, `rua`, `ruf`, `adkim`, `aspf`. Si `pct` est présent avec une valeur inférieure à 100, vous devez planifier sa suppression.",{"title":56,"body":57},"Supprimez ou remplacez le tag `pct`","Dans RFC 9989, `pct` est déprécié. Son rôle de déploiement progressif passe au tag `t` (mode test) : `t=y` indique au récepteur de traiter le message comme si la politique était `p=none`, sans appliquer la quarantaine ou le rejet. Pour migrer en douceur depuis `pct=50`, remplacez par `t=y`, validez sur quelques semaines via vos rapports agrégés, puis retirez `t=y`. Exemple de migration : `v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@votre-domaine.com`",{"title":59,"body":60},"Ajoutez le tag `np` pour les sous-domaines inexistants","Le tag `np` (non-existent subdomain policy) définit la politique à appliquer aux messages prétendant provenir d'un sous-domaine qui n'existe pas dans votre DNS. Sans `np`, la RFC 9989 utilise la valeur de `sp` (subdomain policy) ou, à défaut, de `p`. Si vous ne voulez pas qu'un attaquant exploite `inexistant.votre-domaine.com`, ajoutez `np=reject`. Exemple complet : `v=DMARC1; p=quarantine; sp=quarantine; np=reject; rua=mailto:dmarc@votre-domaine.com`",{"title":62,"body":63},"Comprenez Tree Walk DNS et publiez aux bons niveaux","Avec Tree Walk, un récepteur qui reçoit un message de `mail.app.votre-domaine.com` cherche `_dmarc.mail.app.votre-domaine.com`, puis `_dmarc.app.votre-domaine.com`, puis `_dmarc.votre-domaine.com`, s'arrêtant à la première réponse valide (maximum 8 requêtes DNS). Cela signifie que si vous publiez une politique DMARC sur un sous-domaine intermédiaire, elle prend la priorité sur la politique racine pour tous les sous-domaines en dessous. Auditez vos zones DNS pour détecter des enregistrements `_dmarc.*` non intentionnels qui pourraient court-circuiter votre politique principale.",{"title":65,"body":66},"Mettez à jour l'enregistrement DNS final","Une fois les tags revus, publiez l'enregistrement mis à jour dans votre zone DNS. Exemple complet pour un domaine en phase de durcissement : `v=DMARC1; p=quarantine; sp=quarantine; np=reject; adkim=s; aspf=s; rua=mailto:dmarc-agg@votre-domaine.com; ruf=mailto:dmarc-fail@votre-domaine.com; fo=1`. Le tag `fo=1` demande un rapport d'échec si SPF ou DKIM échoue (pas seulement les deux).",{"title":68,"body":69},"Vérifiez la configuration DKIM côté Postfix","Sur Postfix avec OpenDKIM, assurez-vous que `adkim=s` (strict) n'entre pas en conflit avec des sous-domaines qui signent sous une clé différente. En mode strict, le domaine d'en-tête `From:` doit correspondre exactement au domaine `d=` de la signature DKIM. En cas de doute, passez temporairement à `adkim=r` (relaxed) et analysez vos rapports agrégés.",{"title":71,"body":72},"Vérifiez la configuration DKIM côté Exim","Sur Exim, vérifiez dans `\u002Fetc\u002Fexim4\u002Fexim4.conf.template` ou votre fichier de configuration principal que `dkim_domain` correspond exactement au domaine publié dans votre enregistrement DMARC. Toute divergence sous `adkim=s` entraîne un échec DKIM et peut déclencher la politique de quarantaine ou de rejet.",{"title":74,"body":75},"Testez et validez les rapports","Attendez 24 à 48 heures et analysez les rapports agrégés XML reçus sur l'adresse `rua`. Les champs `\u003Cpolicy_evaluated>\u003Cdkim>` et `\u003Cpolicy_evaluated>\u003Cspf>` vous indiquent si vos messages passent l'alignement. Un outil comme MXToolbox DMARCAnalyzer ou le parseur en ligne mail-tester.com vous permettra de lire ces rapports sans écrire de code.",{"type":77,"body":78},"tip","Pour valider rapidement votre enregistrement DMARC depuis votre VPS, utilisez `dig TXT _dmarc.votre-domaine.com +short` puis copiez la valeur dans le vérificateur en ligne de MXToolbox (mxtoolbox.com\u002Fdmarc.aspx). Il détecte les tags inconnus, les conflits `pct`\u002F`t`, et indique si l'enregistrement est syntaxiquement valide selon RFC 9989. Pour simuler un Tree Walk, lancez successivement `dig TXT _dmarc.sous-domaine.votre-domaine.com`, `dig TXT _dmarc.votre-domaine.com` et comparez les politiques retournées à chaque niveau.",{"type":35,"title":80,"body":81},"Dépannage des situations courantes","Les problèmes courants ont presque toujours une cause déterministe — voici lesquels surviennent le plus souvent et comment les résoudre.",{"type":39,"items":83},[84,85,86,87,88],"**`pct` ignoré par un récepteur** — Si des MTA conformes RFC 9989 ignorent votre `pct=50` et appliquent la politique à 100% des messages, vos rapports agrégés montreront une augmentation soudaine de rejets ou quarantaines. Ajoutez immédiatement `t=y` pour passer en mode test le temps d'adapter votre infrastructure.","**Politique `np` trop restrictive** — Si un service légitime envoie depuis un sous-domaine non publié (par exemple un outil d'envoi SaaS qui crée dynamiquement des sous-domaines), `np=reject` bloquera ces messages. Commencez par `np=quarantine` et analysez les rapports avant de passer à `reject`.","**Tree Walk produit une politique inattendue** — Si vous trouvez un enregistrement `_dmarc.app.votre-domaine.com` orphelin hérité d'un ancien service, les récepteurs Tree Walk l'appliqueront en priorité. Supprimez les enregistrements `_dmarc.*` inutilisés après inventaire complet de vos zones DNS.","**Rapports agrégés vides ou absents** — Vérifiez que l'adresse `rua` est joignable et que votre MX accepte les rapports XML compressés (GZIP). Certains filtres antispam bloquent les pièces jointes `.gz`. Vérifiez aussi la taille maximale des messages acceptée par votre serveur de réception des rapports.","**Divergence `adkim=s` avec Postfix multi-domaines** — Si vous utilisez un même serveur Postfix pour plusieurs domaines et que la clé DKIM signe sous `example.com` mais que le `From:` contient `newsletter.example.com`, l'alignement strict échouera. Soit ajoutez une clé DKIM dédiée par sous-domaine, soit passez à `adkim=r` pour ces domaines.",{"type":35,"title":90,"body":91},"RFC 7489 vs RFC 9989 : les différences qui comptent","Le tableau ci-dessous résume les différences structurelles entre les deux spécifications.",{"type":93,"headers":94,"rows":98},"comparison",[95,96,97],"Point","RFC 7489 (2015)","RFC 9989 (2026)",[99,103,107,111,115],[100,101,102],"Tag `pct`","Présent — applique la politique à X% des messages pour un déploiement progressif","Supprimé — remplacé par le tag `t=y` (mode test) ; tout message conforme reçoit la politique à 100%",[104,105,106],"Sous-domaines inexistants","Aucun tag dédié — la politique `sp` ou `p` s'applique par défaut","Tag `np` introduit — permet une politique distincte pour les sous-domaines qui n'existent pas en DNS",[108,109,110],"Découverte du domaine parent","Basée sur la Public Suffix List (PSL), maintenue hors IETF, variable selon l'implémenteur","Tree Walk DNS — remontée de l'arbre DNS par requêtes successives, plafonné à 8, défini dans le standard",[112,113,114],"Reporting","Agrégé et échec dans une seule RFC 7489","Trois RFC distinctes : 9989 (core), 9990 (agrégé), 9991 (échec) — évolutivité accrue",[116,117,118],"Statut","Informational — valeur de référence mais pas de Standards Track","Proposed Standard (Standards Track) — autorité IETF, base pour les implémentations futures des MTA",{"type":35,"title":120,"body":121},"Adapter maintenant ou subir plus tard","DMARCbis n'est pas encore appliqué uniformément par tous les MTA Google, Microsoft et Yahoo ont annoncé des phases de test pour Tree Walk, mais aucune date de coupure n'est communiquée officiellement. Cela ne justifie pas l'attente : les RFC 9989, 9990 et 9991 sont publiées sur le Standards Track, ce qui signifie que l'implémentation progressive est en cours et que les premières disparités d'interprétation de `pct` entre récepteurs apparaissent déjà. Supprimer `pct`, ajouter `np` et auditer vos zones DNS pour Tree Walk sont des gestes défensifs qui ne cassent rien sur les récepteurs encore en RFC 7489 — `np` est ignoré par les anciens MTA, et supprimer `pct` n'a d'effet que si le récepteur applique déjà RFC 9989. Le coût de l'adaptation est faible ; le coût d'une politique partiellement appliquée par des récepteurs mixtes l'est beaucoup moins.","Un VPS pour héberger votre serveur mail","Postfix, Exim, Dovecot ou une stack complète comme Stalwart ou Mailcow — déployez votre infrastructure mail sur un VPS Linux avec accès root complet, port 25 ouvert sur demande et reverse DNS configurable.","Voir les VPS Linux","\u002Fvps-linux",[127,143,160,175],{"id":128,"slug":129,"slugs":130,"title":134,"excerpt":135,"readTime":136,"views":18,"isPinned":19,"publishedAt":137,"updatedAt":138,"category":139,"categories":140,"featuredImage":29,"bgImage":30,"posterImage":142,"relatedSolution":29},199,"spf-dkim-dmarc-delivrabilite-emails-pro",{"fr":129,"en":131,"ar":132,"es":133},"spf-dkim-dmarc-passing-the-5000-email-threshold","spf-وdkim-وdmarc-تجاوز-عتبة-5000-رسالة","spf-dkim-dmarc-superar-el-umbral-de-5000-correos","SPF, DKIM, DMARC : passer le seuil des 5 000 e-mails","Gmail et Outlook rejettent en SMTP 550 les expéditeurs sans DMARC aligné. Comment configurer SPF, DKIM et DMARC pour franchir le seuil.",4,"2026-08-01T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[141],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fspf-dkim-dmarc-delivrabilite-emails-pro-poster.svg",{"id":144,"slug":145,"slugs":146,"title":150,"excerpt":151,"readTime":152,"views":153,"isPinned":19,"publishedAt":154,"updatedAt":155,"category":156,"categories":157,"featuredImage":29,"bgImage":30,"posterImage":159,"relatedSolution":29},345,"dmarc-p-quarantine-email-delivrabilite",{"fr":145,"en":147,"ar":148,"es":149},"dmarc-p-quarantine-email-deliverability","dmarc-p-quarantine-email-deliverability-ar","dmarc-p-quarantine-entregabilidad-email","DMARC p=quarantine : arrêtez d'envoyer en mode surveillance","En 2026, Google et Microsoft throttlent les expéditeurs en DMARC p=none. Check-list complète : SPF, DKIM, p=quarantine et List-Unsubscribe one-click.",9,1,"2026-09-10T00:00:00+00:00","2026-09-10T13:10:45+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[158],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fdmarc-p-quarantine-email-delivrabilite-poster.svg",{"id":161,"slug":162,"slugs":163,"title":167,"excerpt":168,"readTime":169,"views":18,"isPinned":19,"publishedAt":170,"updatedAt":21,"category":171,"categories":172,"featuredImage":29,"bgImage":30,"posterImage":174,"relatedSolution":29},459,"serveur-email-self-hosted-comparatif-vps-2026",{"fr":162,"en":164,"ar":165,"es":166},"self-hosted-email-server-on-vps-comparison-2026","مقارنة-خوادم-البريد-self-hosted-على-vps-2026","comparativa-servidores-email-self-hosted-en-vps-2026","Serveur email self-hosted sur VPS : comparatif 2026","Stalwart, Mailcow ou Postfix+Dovecot : comparez RAM, complexité et périmètre anti-spam pour choisir le serveur email adapté à votre VPS en moins de 10 minutes.",10,"2026-10-16T00:00:00+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[173],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fserveur-email-self-hosted-comparatif-vps-2026-poster.svg",{"id":176,"slug":177,"slugs":178,"title":182,"excerpt":183,"readTime":152,"views":153,"isPinned":19,"publishedAt":184,"updatedAt":138,"category":185,"categories":186,"featuredImage":29,"bgImage":30,"posterImage":188,"relatedSolution":29},331,"email-deliverabilite-vps-port-25-dkim-ptr",{"fr":177,"en":179,"ar":180,"es":181},"email-deliverability-on-vps-port-25-cold-ip-and-ptr","تسليم-البريد-الإلكتروني-على-vps-المنفذ-25-وـ-ptr","entregabilidad-de-email-en-vps-puerto-25-ip-fria-y-ptr","Délivrabilité email sur VPS : port 25, IP froide et PTR","Port 25 bloqué par l'hébergeur, IP fraîche classée spam, PTR absent : les trois bloqueurs structurels à résoudre avant le premier envoi depuis votre VPS.","2026-09-05T00:00:00+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[187],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Femail-deliverabilite-vps-port-25-dkim-ptr-poster.svg",1792360999031]