L'année 2026 marque un tournant pour la sécurité de la messagerie : DMARC devient enfin un standard à part entière avec la publication de DMARCbis, tandis que l'IETF prépare DKIM2, une refonte en profondeur de la signature des e-mails. Décryptage de ces évolutions, de leur importance pour votre domaine, et de la manière dont e-securemail vous y prépare.

Dans un monde où l'e-mail reste le premier vecteur d'attaque des cybercriminels, garantir l'authenticité des messages est devenu une exigence fondamentale. Usurpation de domaine, phishing, rejeu de signatures : les techniques d'attaque exploitent les limites des standards historiques d'authentification. C'est précisément pour combler ces failles structurelles que l'IETF, l'organisme de normalisation de l'Internet, a engagé la refonte des deux piliers de l'authentification e-mail : DMARC et DKIM.

DMARCbis : DMARC accède au rang de standard

Depuis 2015, DMARC (Domain-based Message Authentication, Reporting and Conformance) permet aux propriétaires de domaines de publier une politique indiquant aux serveurs destinataires comment traiter les messages qui échouent aux contrôles SPF et DKIM. Paradoxalement, la spécification d'origine (RFC 7489) n'avait qu'un statut « informationnel » : DMARC était massivement déployé, mais sans jamais avoir été un standard de l'Internet.

C'est désormais chose faite. En mai 2026, l'IETF a publié DMARCbis, qui remplace la RFC 7489 et élève DMARC au statut de Proposed Standard. La spécification est désormais portée par trois documents normatifs :

la RFC 9989, qui décrit le protocole cœur (politiques, alignement, découverte du domaine organisationnel) ; la RFC 9990, consacrée aux rapports agrégés ; et la RFC 9991, consacrée aux rapports d'échec.

Pourquoi DMARCbis est important

Au-delà du symbole, DMARCbis corrige des faiblesses structurelles identifiées après plus de dix ans d'exploitation. La plus significative est l'abandon de la Public Suffix List, cette liste externe maintenue manuellement dont dépendait la détermination du domaine organisationnel. Elle est remplacée par le DNS Tree Walk : la découverte du domaine s'effectue désormais par requêtes DNS successives, de manière autonome, fiable et sans dépendance à un tiers.

DMARCbis clarifie également la politique applicable aux sous-domaines inexistants — un angle mort largement exploité par les attaquants — grâce à la nouvelle balise np, introduit un mode test explicite (balise t) et supprime des balises sources d'ambiguïté et d'erreurs de configuration (pct, ri, rf). Enfin, la nouvelle section de conformité transforme DMARC d'une simple case à cocher en un véritable modèle opérationnel : authentifier ses flux, publier sa politique, collecter les rapports, analyser et remédier.

DKIM2 : une chaîne de confiance de bout en bout

Le second chantier est encore plus ambitieux. DKIM (RFC 6376), le protocole qui signe cryptographiquement les e-mails depuis 2007, souffre de limites que deux décennies de rustines n'ont jamais résolues : une signature apposée uniquement au départ, qui se brise dès qu'un intermédiaire légitime — liste de diffusion, redirecteur, passerelle de sécurité — modifie le message ; aucune preuve que le destinataire était bien le destinataire prévu ; et surtout, la possibilité de rejouer un message correctement signé vers des millions d'adresses, une technique aujourd'hui massivement exploitée par les campagnes de spam et de phishing (« DKIM replay »).

DKIM2, en cours de normalisation au sein du groupe de travail DKIM de l'IETF (draft draft-ietf-dkim-dkim2-spec, en Standards Track), rebâtit le protocole autour d'une idée forte : la chaîne de responsabilité.

Ce que change DKIM2

Avec DKIM2, chaque serveur qui manipule un message ajoute sa propre signature, constituant une chaîne vérifiable indiquant quels domaines ont touché le message, dans quel ordre, et avec quelles modifications. Les intermédiaires légitimes documentent précisément leurs changements — un pied de page ajouté par une liste de diffusion, une URL réécrite par une passerelle — de sorte que le destinataire peut les « défaire » et vérifier la signature d'origine. Les signatures sont horodatées et liées au destinataire, ce qui neutralise le rejeu. Les notifications de non-remise ne peuvent plus être envoyées qu'aux acteurs réellement impliqués dans la transmission, éliminant une source classique d'abus. Enfin, DKIM2 intègre une agilité cryptographique native, préparant notamment la transition vers les algorithmes post-quantiques.

En résumé : là où DKIM répond à la question « ce message a-t-il été signé par ce domaine ? », DKIM2 répond à une question bien plus riche — « quel chemin ce message a-t-il emprunté, qui l'a modifié, et ces modifications étaient-elles légitimes ? ».

e-securemail : prêt pour DMARCbis, en avance sur DKIM2

Chez Secuserve, nous suivons ces travaux de normalisation depuis leur origine. La plateforme e-securemail prend en charge DMARCbis dans l'évaluation de vos flux, et nos équipes préparent la prise en charge de DKIM2 afin d'être au rendez-vous dès la stabilisation du standard — sans action requise de votre part, conformément à notre modèle de service entièrement infogéré et souverain.

Une action concrète à mener dès aujourd'hui

Ces nouveaux standards ne valent que par la solidité des fondations sur lesquelles ils reposent : vos clés de signature DKIM. Conformément à la RFC 8301, les clés RSA de 1024 bits sont désormais considérées comme trop faibles. Si votre domaine est encore signé avec une telle clé, votre interface e-securemail vous le signale et vous permet de générer une nouvelle clé de 2048 bits en un clic : publiez-la dans votre zone DNS sous le nouveau sélecteur, puis activez-la. Vos e-mails restent signés avec la clé actuelle tant que la nouvelle n'est pas activée — la migration s'effectue sans aucune interruption.

En consolidant dès maintenant vos configurations SPF, DKIM et DMARC, vous répondez aux exigences croissantes des grands opérateurs de messagerie et vous préparez sereinement l'arrivée de DKIM2. Nos équipes se tiennent à votre disposition pour vous accompagner dans cette démarche.

Pour toute question, contactez notre support depuis votre portail ticketing ou à l'adresse support@secuserve.com.