Rapports forensics DMARC pendant un incident d'envoi
Les rapports forensics DMARC (RUF) sont rares : la vie privée. Les RUA suffisent souvent à voir les IP. Gardez deux semaines de rapports : ils datent la fin de l’envoi frauduleux pour les listes et pour votre constat.
Les RUF sont rares (vie privée). Les RUA suffisent souvent à voir les IP. Gardez deux semaines de rapports : ils datent la fin de l'envoi frauduleux pour les listes.
RUA et RUF : deux tiroirs
RUA (rua=) : rapports agrégés, XML, volumes par IP, résultats SPF/DKIM/DMARC. Quotidien ou presque. C’est l’outil de l’incident. RUF (ruf=) : copies ou extraits de messages en échec, dits forensics. Beaucoup de gros webmails ne les envoient plus, ou presque plus, pour des raisons de données personnelles.
Les tutos qui disent « activez ruf pour voir le phishing » datent. Ne construisez pas votre dossier là-dessus. Un RUA + un journal d’envoi + deux en-têtes clients valent mieux qu’attendre un RUF qui ne viendra pas.
Si vous recevez encore des RUF, traitez-les comme des données sensibles (boîte dédiée, rétention courte, pas un Slack public).
Pourquoi les RUF n’arrivent pas
Gmail, Microsoft et d’autres ont réduit ou stoppé les forensics. Un ruf=mailto: sans flux n’est pas un « DNS cassé ». C’est la norme 2024–2026. N’ouvrez pas un ticket « Google ne respecte pas DMARC » pour ça.
Certains petits MTA envoient encore. Bonus, pas un plan.
La vie privée : un forensic peut contenir un sujet, un destinataire, un bout de corps. Vous n’en voulez pas dans une boîte partagée. D’où le recul des opérateurs. C’est sain.
Ce que les RUA montrent pendant un spam
Des IP qui ne sont pas les vôtres, gros volume, SPF fail : spoof. Des IP de votre hébergeur, SPF pass, volume absurde : envoi réel. Des IP d’ESP que vous n’utilisez plus : include SPF oublié ou compte ESP ouvert.
La date de chute du volume : précieuse. « Plus d’envoi frauduleux depuis le 12 à 18 h » est une phrase que Spamhaus et Orange comprennent. Sans RUA ni journal, vous avez un feeling. Décalez les horodatages XML (souvent UTC) avec vos logs hébergeur (souvent Europe/Paris) : une heure d’écart a déjà fait croire à un second pic imaginaire.
Les outils (dmarcian, Postmark, un parser maison, une mailbox + unzip) : choisissez-en un avant l’incident si vous pouvez. Le jour J, une mailbox qui reçoit déjà les XML suffit ; on parse après.
Garder deux semaines, pas « le dernier XML »
Les rapports arrivent en retard (24–48 h parfois). Jeter la mailbox « pour faire de la place » le lundi efface le week-end d’abus. Archivez hors ligne deux semaines, plus si assureur / plainte.
Un seul XML d’un mardi calme ne prouve pas la fin. La série, si.
Les duplicates (plusieurs rua vers plusieurs outils) : OK. Un rua vers une adresse morte : vous êtes aveugle. Vérifiez que la boîte existe et n’est pas pleine — ironiquement, après un bounce storm.
- Boîte rua@ ou un prestataire RUA.
- Quota et forwarding.
- Export zip horodaté J+14.
Lire les IP sans se noyer
Classez : mes IP / mes ESP / le reste. Le reste en volume = spoof ou voisin d’include. Mes IP en volume = site ou boîte. Ne lancez pas de « scan » sur les IP du reste. Vous n’attaquez personne. Vous datez. Une IP Microsoft ou Google en fail n’est pas « Microsoft qui spam » : c’est souvent un forwarding ou un outil mal aligné. Vérifiez avant de révoquer un include utile.
Les pays : indicatif, pas une preuve d’identité. Une IP OVH Gravelines, c’est souvent votre mutualisé ou un voisin, pas « un Russe ».
Alignement : SPF pass mais DKIM fail, etc. Ça guide vers SPF ou DKIM, pas vers un plugin WordPress au hasard.
Preuve pour Spamhaus, Orange, l’assureur
Joignez : courbe de volume (même un tableau), IP d’envoi réel coupées, date de fin, extrait de journal. Page domaine blacklisté, recours Orange. Un XML brut en pièce jointe sans légende n’aide pas un humain pressé : trois lignes au-dessus (« pic 11–12 mars, IP x, cut-off 12 16:40 »).
L’assureur veut des dates. Les RUA sont datés par construction. Gardez-les.
Ne promettez pas « plus aucun spoof » : le spoof continue souvent, DMARC le gère. Promettez « plus d’envoi depuis nos IP » si le journal le dit.
Réglages DMARC le temps de l’incident
Assurez-vous que rua= pointe vers une boîte vivante. pct=100. p=none ou quarantine selon l’inventaire (reject trop tôt). N’ajoutez pas fo=1 / ruf en croyant que ça « force » Gmail.
Un rua vers un prestataire (easyDMARC, etc.) : vérifiez leur destinataire d’autorisation (souvent un TXT). Sinon les rapports sont rejetés.
Ne touchez pas à tout le DNS le même soir (MX + SPF + DKIM + DMARC). Chaque geste se teste.
Après : une boîte RUA qui ne pourrit pas
Rétention 90 jours en routine, 14 jours « chauds » après incident dans le constat. Alerte si le volume RUA explose (nouveau pic).
Passez à reject quand la série le permet. Surveillez encore une semaine.
Créer un espace pour le script site. Un prestataire mail pour parser si 40 XML/jour vous dépassent. Guide emails.