Un ZIP « Google DMARC » dans ma boîte : est-ce un incident ?

Difficulté observée

Un administrateur a configuré _dmarc avec une adresse rua= et reçoit des ZIP quotidiens ou hebdomadaires. Le XML affiche spf: fail avec dkim: pass et disposition: none. Réaction fréquente : « c’est cassé » ou « on nous usurpe » — alors que les utilisateurs ne signalent pas de problème de délivrance.

Ce qui est établi (sources officielles)

• Les rapports agrégés DMARC (RUA) sont un retour normal lorsque rua= est publié (RFC 7489, rapports DMARC Google).
• Gmail agrège les résultats ; un spf: fail dans policy_evaluated peut coexister avec un DMARC pass si le DKIM s’aligne sur le From: visible.
• Un agrégé ne prouve pas un incident utilisateur précis ; ce sont des statistiques sur une fenêtre temporelle.

Comment PunchOp structurerait la réponse

1. Vérifier que le nom du ZIP correspond à un RUA agrégé (org!domaine!horodatages).
2. Comparer policy_published au TXT _dmarc actuel.
3. Pour chaque record suspect : IP, volume, DKIM/SPF évalués, domaines d’enveloppe vs en-tête dans auth_results.
4. Classer : ESP autorisé, relais interne, ou source inconnue (investigation).
5. Croiser les sources inconnues avec logs relais SMTP ou applicatifs — pas seulement le XML.
6. Noter si une ligne a une disposition autre que none pour du trafic métier.

Guide détaillé : Rapport DMARC agrégé (RUA).

Limites

• PunchOp n’a pas exécuté ce parcours en produit ; cette page décrit une méthode pour une question admin courante, pas une étude de cas sur votre domaine.
• Le RUA ne remplace pas une trace message (Email Log Search, logs relais, tableau de bord ESP).
• Passer à p=reject sans inventorier les expéditeurs légitimes peut bloquer du trafic réel — changement de politique en fenêtre maîtrisée.

Ce que cette preuve permet et n’autorise pas de conclure

Le ZIP prouve que Gmail a envoyé un résumé agrégé d’authentification pour votre domaine—not qu’un utilisateur précis a perdu un mail. Des lignes SPF fail reflètent souvent un désalignement d’enveloppe alors que DKIM passe ; ce motif seul n’est pas une preuve d’abus.

Si le message n’apparaît jamais chez Google

On ouvre parfois un RUA à cause d’un souci de livraison. Le RUA ne localisera pas un envoi relais manquant ; basculer vers Email Log Search ou les traces SMTP applicatives si le symptôme est au niveau message.

Différence avec un outil ponctuel ou un rapport DMARC

Vous tenez déjà un rapport DMARC agrégé—distinct des outils SMTP et en-têtes et du suivi type dmarcian. PunchOp viserait à relier les lignes RUA aux prochains contrôles opérationnels, sans remplacer le DNS ni le format Google.