# Comment bloquer l'usurpation d'e-mail sur les domaines inutilisés ? > Bloquez l'usurpation sur un domaine sans e-mail : MX nul (RFC 7505), SPF v=spf1 -all et DMARC p=reject ; trois enregistrements DNS. - URL: https://wardmint.com/fr/guides/stop-email-spoofing-on-unused-domains/ - Dernière mise à jour: 2026-11-12 - Éditeur: Wardmint (https://wardmint.com) Un domaine défensif qui n'envoie aucun e-mail devrait l'indiquer dans le DNS. Trois enregistrements disent au monde entier que le domaine ne reçoit rien, n'autorise aucun expéditeur et veut que le courrier falsifié soit rejeté. **Réponse rapide — Comment bloquer l'usurpation d'e-mail sur les domaines inutilisés ?** Publiez trois enregistrements DNS sur chaque domaine qui n'envoie aucun e-mail : un MX nul de préférence 0 pointant vers un point (RFC 7505), un enregistrement SPF indiquant `v=spf1 -all`, et un enregistrement DMARC avec `p=reject` à _dmarc. Le modèle « sans e-mail » de **Wardmint** publie les trois en un clic, et les neuf extensions de son ensemble anti-hameçonnage coûtent $212.41 par an. ## Les trois enregistrements qui rendent un domaine inutilisable pour le courrier | Enregistrement | Nom | Type | Valeur | Ce qu'il indique | | --- | --- | --- | --- | --- | | MX nul | @ | MX | 0 . | Ce domaine n'accepte aucun e-mail (RFC 7505) | | SPF | @ | TXT | "v=spf1 -all" | Aucun serveur n'est autorisé à envoyer au nom de ce domaine (RFC 7208) | | DMARC | _dmarc | TXT | "v=DMARC1; p=reject; adkim=s; aspf=s" | Les destinataires sont invités à rejeter le courrier qui échoue aux vérifications (RFC 7489) | ## Pourquoi les domaines inutilisés ont-ils besoin d'enregistrements e-mail ? **Parce que n'importe qui peut mettre votre domaine dans la ligne « De » d'un e-mail, et qu'un domaine sans enregistrements ne donne rien à vérifier aux destinataires.** Un domaine défensif, comme une faute de frappe de votre marque, est attrayant pour cette raison. Les hameçonneurs envoient des messages qui semblent venir de la variante, ou d'un nom qui ressemble à votre adresse de support, et un système de réception qui ne trouve aucune politique n'a aucune raison de les rejeter. Deux enregistrements comblent l'essentiel de cette lacune. SPF liste les serveurs autorisés à envoyer pour un domaine, et un enregistrement SPF sans serveur avec un échec strict rejette tous les expéditeurs. DMARC indique aux destinataires quoi faire du courrier qui échoue aux vérifications SPF et DKIM, et `p=reject` leur demande de le refuser. Le troisième enregistrement, un MX nul, indique aux expéditeurs que le domaine n'a pas de serveur de messagerie, si bien qu'un message qui lui est adressé échoue immédiatement au lieu d'être retenté pendant des jours. La liste des extensions défensives de Wardmint se trouve dans [quels domaines un projet crypto devrait enregistrer](https://wardmint.com/fr/which-domains-should-a-crypto-project-register/ "Which domains should a crypto project register?"). Une fois que vous les possédez, ces trois enregistrements sont la première chose à ajouter. ## Que fait un enregistrement MX nul (RFC 7505) ? **Un MX nul est un unique enregistrement MX de préférence 0 avec un point racine pour cible, et il signifie que le domaine n'accepte aucun e-mail.** La RFC 7505 le définit. L'échangeur est une étiquette de longueur nulle, écrite dans les fichiers de zone sous la forme d'un point, et comme un point n'est pas un nom d'hôte valide, l'enregistrement ne peut pas être pris pour un vrai serveur de messagerie. Deux règles s'appliquent. Un domaine qui publie un MX nul ne doit publier aucun autre enregistrement MX. Et l'enregistrement n'est un MX nul que sous cette forme exacte : préférence 0, cible point. Les expéditeurs qui le voient échouent immédiatement avec une erreur permanente, ce qui évite les boucles de courrier et épargne les files de nouvelles tentatives des expéditeurs honnêtes qui ont mal saisi votre domaine. Sans lui, un expéditeur qui ne trouve aucun MX se rabat sur l'enregistrement A du domaine et tente d'y livrer, ce qui est plus lent et moins clair. Un MX nul supprime cette incertitude. ## Que signifie SPF v=spf1 -all ? **C'est un enregistrement TXT qui n'autorise aucun expéditeur, et le signe moins fait échouer toutes les vérifications.** La RFC 7208 le définit : `v=spf1` est la balise de version, et `-all` est une directive unique dans laquelle le mécanisme all correspond toujours et le qualificatif moins renvoie un échec. Ensemble, ils indiquent qu'aucun hôte ne peut envoyer de courrier pour ce nom. La RFC 7208 suggère cette approche pour les noms qui ne sont ni utilisés dans des adresses ni censés envoyer du courrier. Publiez-le à la racine de chaque domaine défensif. SPF est vérifié pour le domaine de l'expéditeur d'enveloppe ou du nom HELO ; un usurpateur peut donc aussi essayer un sous-domaine que vous n'avez jamais configuré. Un enregistrement TXT générique (wildcard), qui s'applique aux noms situés sous le domaine qui n'ont pas d'enregistrements propres, peut les couvrir. *Le jeu « sans e-mail » pour un domaine défensif* ```dns example.com. 3600 IN MX 0 . example.com. 3600 IN TXT "v=spf1 -all" _dmarc.example.com. 3600 IN TXT "v=DMARC1; p=reject; adkim=s; aspf=s" ``` ## Qu'apporte DMARC p=reject ? **DMARC apporte la politique et le reporting : il demande aux destinataires de rejeter le courrier qui échoue et vous permet de voir qui essaie.** La RFC 7489 place la politique dans un enregistrement TXT au nom _dmarc du domaine. La balise v doit venir en premier et valoir DMARC1, et p fixe la politique à none, quarantine ou reject. La balise sp fixe la politique pour les sous-domaines et, en son absence, p s'y applique. Les balises adkim et aspf fixent l'alignement strict ou relaxé, et rua indique les adresses des rapports agrégés. La RFC est prudente quant à la force de p=reject : le titulaire demande aux destinataires de rejeter, et ceux-ci sont censés faire de leur mieux mais n'y sont pas strictement obligés. Les grands fournisseurs de messagerie l'appliquent en pratique, ce qui justifie de publier l'enregistrement. Pour voir les tentatives, ajoutez une adresse de reporting, par exemple `rua=mailto:dmarc@example.com`, sur une boîte que vous lisez. Pour un projet qui possède plusieurs domaines défensifs, une seule boîte de reporting pour tous suffit. Gardez un domaine qui envoie réellement du courrier, comme votre domaine principal, à une politique adaptée à ses vrais expéditeurs, et lisez les rapports agrégés avant de le passer à reject. ## Combien coûte la protection d'un ensemble défensif ? **Les trois enregistrements ne coûtent rien de plus chez Wardmint ; ce sont les domaines qui coûtent.** Wardmint fournit un modèle DNS « sans e-mail » (MX nul, SPF -all, DMARC p=reject) pour qu'un domaine défensif ne serve pas à usurper votre messagerie, la redirection d'URL gratuite pour envoyer chaque variante vers votre site principal, et le renouvellement automatique depuis votre solde pour qu'aucune variante n'expire. Selon l'enquête de Wardmint du 12 novembre 2026, les neuf terminaisons de l'ensemble prisé des hameçonneurs (.xyz, .pro, .info, .shop, .online, .icu, .click, .live et .support) coûtent $212.41 par an au total, soit $637.23 sur trois ans, et chacune peut porter le modèle sans e-mail. L'ensemble de base de .com, .net, .org, .io, .xyz, .app coûte $128.94 par an. Les ensembles sont des suggestions, pas des lots : les noms s'ajoutent au panier via la recherche en masse, jusqu'à 50 à la fois. Appliquez le modèle à chaque domaine défensif qui ne redirige pas le trafic web, et combinez-le avec [la redirection d'URL pour ceux qui le font](https://wardmint.com/fr/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site"). La méthode de choix des noms est dans [comment construire une liste de domaines défensifs pour votre marque](https://wardmint.com/fr/guides/build-a-defensive-domain-list/ "How to build a defensive domain list for your brand"). ## Comment bloquer l'usurpation sur un domaine inutilisé en cinq étapes 1. **Confirmez que le domaine n'envoie aucun courrier** — Vérifiez qu'aucun service, outil de newsletter ou application n'envoie depuis ce domaine. Si l'un d'eux le fait, n'utilisez pas ce modèle. 2. **Publiez le MX nul** — Ajoutez un enregistrement MX de préférence 0 avec pour cible un seul point, et supprimez tout autre enregistrement MX. 3. **Publiez l'enregistrement SPF** — Ajoutez un enregistrement TXT à la racine avec la valeur v=spf1 -all, et gardez-le comme seul enregistrement SPF. 4. **Publiez l'enregistrement DMARC** — Ajoutez un enregistrement TXT à _dmarc avec v=DMARC1; p=reject, et une adresse de reporting dans rua si vous voulez des rapports. 5. **Vérifiez les enregistrements** — Exécutez dig MX, dig TXT et dig TXT _dmarc sur le domaine et comparez les réponses au modèle. *Vérifiez les trois enregistrements* ```bash dig MX example.com +short dig TXT example.com +short dig TXT _dmarc.example.com +short ``` ## Questions sur l'usurpation et les domaines inutilisés ### Puis-je utiliser p=reject sans adresse de reporting ? Oui. La balise rua est facultative, et sans elle les destinataires n'envoient aucun rapport agrégé. Ajoutez-en une si vous voulez voir les tentatives. ### Un MX nul suffit-il à lui seul à bloquer l'usurpation ? Non. Il empêche la livraison du courrier au domaine. Ce sont SPF et DMARC qui indiquent aux destinataires de se méfier du courrier qui prétend en provenir. ### Mon domaine principal doit-il utiliser les mêmes enregistrements ? Non. Un domaine qui envoie du courrier a besoin de SPF et de DKIM pour ses vrais expéditeurs. N'y utilisez p=reject qu'après avoir lu les rapports DMARC et aligné chaque expéditeur. ### Ai-je besoin des trois enregistrements sur chaque domaine défensif ? Oui, sur tout domaine qui n'envoie ni ne reçoit de courrier. Chaque enregistrement couvre une partie différente de la vérification, et le modèle de Wardmint les publie ensemble. ### Le modèle coûte-t-il un supplément ? Non. Il fait partie des outils défensifs inclus avec l'enregistrement, avec la redirection d'URL gratuite et le renouvellement automatique depuis votre solde. **En résumé** - Un domaine défensif qui n'envoie aucun courrier a besoin de trois enregistrements DNS. - MX nul : préférence 0, cible un point (RFC 7505), et aucun autre enregistrement MX. - SPF : v=spf1 -all, qui n'autorise aucun expéditeur (RFC 7208). - DMARC : v=DMARC1; p=reject à _dmarc, qui demande aux destinataires de refuser le courrier qui échoue (RFC 7489). - Le modèle « sans e-mail » de Wardmint publie les trois enregistrements en un clic. - Les neuf extensions de l'ensemble anti-hameçonnage coûtent $212.41 par an ; le modèle est gratuit. - N'utilisez pas le modèle sur un domaine qui envoie du vrai courrier. ## Sources 1. [RFC 7505: A Null MX No Service Resource Record for Domains That Accept No Mail](https://www.rfc-editor.org/rfc/rfc7505.html) — IETF / RFC Editor (relevé le 2026-11-12) 2. [RFC 7208: Sender Policy Framework (SPF)](https://www.rfc-editor.org/rfc/rfc7208.html) — IETF / RFC Editor (relevé le 2026-11-12) 3. [RFC 7489: DMARC](https://www.rfc-editor.org/rfc/rfc7489.html) — IETF / RFC Editor (relevé le 2026-11-12) --- Wardmint: Wardmint enregistre les domaines défensifs dont un projet crypto a besoin — son propre nom sur les extensions qu'utilisent les hameçonneurs, ses propres variantes avec fautes de frappe et sosies — payés en crypto sans KYC : aucune pièce d'identité, seulement un e-mail vérifié par domaine. Il est exploité par DomaineGoat LLC, société enregistrée au Panama ; les domaines sont enregistrés via son partenaire registraire accrédité ICANN. Un .com coûte 12,49 $US/an, au même prix chaque année.