Politique DMARC
La politique DMARC - la balise p= - indique aux destinataires quoi faire du courrier qui échoue à DMARC : p=none (surveillance uniquement), p=quarantine (envoyer au spam) ou p=reject (bloquer d'emblée). Une protection complète contre l'usurpation exige p=reject.
Ce guide fait partie de notre guide complet sur DMARC. Voir aussi : l’enregistrement DMARC et comment configurer DMARC.
Votre politique DMARC — la balise p= de votre enregistrement DMARC — indique aux serveurs de messagerie destinataires quoi faire des messages qui échouent à l’authentification DMARC. Il existe trois choix : p=none (surveillance uniquement, aucune action), p=quarantine (envoyer le courrier en échec vers le spam) et p=reject (bloquer d’emblée le courrier en échec). Seul p=reject vous offre une protection complète contre l’usurpation de votre domaine.
Toute personne ayant un enregistrement DMARC a une politique, mais la plupart des domaines restent à p=none, ce qui ne fait rien pour arrêter l’usurpation d’identité. L’objectif est de progresser en toute sécurité vers p=reject. Ce guide explique chaque politique, pourquoi l’alignement décide discrètement de la réussite ou de l’échec des messages, et comment atteindre l’application sans bloquer votre propre courrier légitime.
Les trois politiques : none, quarantine, reject
La balise p= est l’élément le plus important de votre enregistrement DMARC. Elle indique aux destinataires quelle action prendre lorsqu’un message prétend provenir de votre domaine mais échoue à DMARC.
| Politique | Ce que font les destinataires | Quand l’utiliser |
|---|---|---|
p=none | Aucune action — livraison normale, mais envoi de rapports agrégés | Le point de départ. À utiliser uniquement pendant que vous collectez des données et confirmez que chaque expéditeur légitime réussit. |
p=quarantine | Achemine le courrier en échec vers le dossier spam/indésirable | L’étape intermédiaire. À utiliser une fois les rapports propres, pour une application souple avant de passer à un blocage strict. |
p=reject | Refuse le courrier en échec au niveau du serveur — il n’atteint jamais la boîte de réception | L’objectif final. À utiliser une fois que vous êtes confiant que tout le courrier légitime s’authentifie et s’aligne. Protection complète contre l’usurpation. |
p=none est un mode de surveillance, pas une protection. Un domaine bloqué à p=none peut toujours être usurpé librement — les attaquants peuvent envoyer du courrier en votre nom et il atterrit dans les boîtes de réception. La véritable protection anti-usurpation commence à p=quarantine et est complète à p=reject.
L’alignement détermine la réussite ou l’échec
Une « réussite » DMARC est plus stricte qu’une réussite SPF ou DKIM seule. Pour que DMARC réussisse, un message a besoin qu’au moins l’un des deux, SPF ou DKIM, à la fois s’authentifie et s’aligne avec le domaine From: visible que voient réellement les destinataires.
- Alignement SPF — le domaine de l’enveloppe SMTP (Return-Path) doit correspondre au domaine
From:visible, et SPF doit réussir. - Alignement DKIM — le domaine de la signature DKIM (
d=) doit correspondre au domaineFrom:visible, et la signature doit être vérifiée.
C’est ici que SPF casse discrètement DMARC. Un enregistrement SPF est limité à 10 recherches DNS. Lorsque votre enregistrement dépasse cette limite — facile à faire dès que vous ajoutez plusieurs fournisseurs via des instructions include: imbriquées — SPF renvoie une PermError et cesse d’évaluer. Cela tue silencieusement l’alignement SPF. Si l’alignement DKIM n’est pas également en place, du courrier par ailleurs légitime échoue à DMARC et se fait mettre en quarantaine ou rejeter au moment où vous passez à l’application.
C’est pourquoi l’alignement SPF est si important avant de resserrer votre politique. Vérifiez que votre enregistrement est sous la limite de recherches et ne renvoie aucune PermError. AutoSPF maintient SPF valide en aplatissant automatiquement votre enregistrement, afin qu’il reste sous 10 recherches même à mesure que vous ajoutez des expéditeurs — protégeant l’alignement DMARC à mesure que vous progressez vers reject.
Vous pouvez également contrôler le degré de rigueur de l’alignement avec les balises aspf (SPF) et adkim (DKIM). r (relaxed, par défaut) permet aux sous-domaines de s’aligner ; s (strict) exige une correspondance exacte. La plupart des domaines devraient les laisser en relaxed. Consultez l’enregistrement DMARC pour la référence complète des balises.
Comment passer de none à reject en toute sécurité
Passer directement à p=reject risque de bloquer du courrier réel. Utilisez plutôt un déploiement par étapes :
- Commencez à
p=none. Publiez un enregistrement DMARC avecp=noneet une adresse de reporting (rua=). Cela ne change rien à la livraison mais commence à collecter des rapports agrégés. - Lisez vos rapports. Sur deux à quatre semaines, examinez les rapports pour voir chaque source envoyant au nom de votre domaine — votre propre plateforme marketing, CRM, service d’assistance, outil de facturation, et tout expéditeur fantôme.
- Corrigez les expéditeurs légitimes en échec. Pour chaque expéditeur réel qui échoue, ajoutez-le à SPF ou mettez en place la signature DKIM afin qu’il s’authentifie et s’aligne. Gardez SPF sous la limite de 10 recherches pendant que vous le faites.
- Passez à
p=quarantineavecpct. Réglezp=quarantine; pct=25pour appliquer d’abord sur un quart du courrier en échec, puis augmentezpctvers 100 à mesure que les rapports restent propres. Cela limite l’impact si vous avez manqué un expéditeur. - Passez à
p=reject. Une fois que la quarantaine est àpct=100et que les rapports ne montrent que les échecs attendus (c’est-à-dire l’usurpation réelle), basculez surp=rejectpour une protection complète.
Pour la syntaxe de l’enregistrement et la publication étape par étape, consultez comment configurer DMARC.
La balise sp (politique de sous-domaine)
La balise sp= définit une politique distincte pour les sous-domaines de votre domaine. Si vous l’omettez, les sous-domaines héritent de la valeur p= principale. Cela importe parce que les attaquants usurpent souvent des sous-domaines (comme mail.yourdomain.com) que vous n’utilisez peut-être pas activement. Un schéma sûr et courant consiste à publier sp=reject même pendant que votre politique de premier niveau monte encore en puissance, afin que les sous-domaines inutilisés soient verrouillés tôt. Si vous utilisez des sous-domaines pour des envois légitimes, traitez-les de la même manière — surveillez, alignez, puis appliquez.
Foire aux questions
Qu’est-ce qu’une politique DMARC ?
Une politique DMARC est la balise p= de l’enregistrement DNS DMARC de votre domaine. Elle indique aux serveurs de messagerie destinataires comment traiter les messages qui prétendent provenir de votre domaine mais échouent à l’authentification DMARC. Les trois valeurs sont p=none (surveillance uniquement), p=quarantine (envoyer au spam) et p=reject (bloquer). C’est l’instruction centrale qui transforme DMARC en véritable protection.
Quelle est la différence entre p=none, p=quarantine et p=reject ?
p=none ne prend aucune mesure sur le courrier en échec — il vous envoie seulement des rapports, de sorte que votre domaine peut toujours être usurpé. p=quarantine achemine les messages en échec vers le dossier spam, une étape d’application souple. p=reject refuse le courrier en échec au niveau du serveur afin qu’il n’atteigne jamais la boîte de réception. Seuls p=quarantine et p=reject arrêtent réellement l’usurpation d’identité ; p=reject est l’objectif de protection complète.
Est-il sûr d’utiliser p=reject ?
Oui, une fois que vous vous y êtes préparé. p=reject est sûr après un déploiement par étapes dans lequel chaque expéditeur légitime s’authentifie et s’aligne, et vos rapports agrégés ne montrent que les échecs attendus. Le risque vient de passer à reject trop tôt et de bloquer du courrier réel. Corrigez les expéditeurs en échec à p=none, montez en puissance via p=quarantine avec pct, puis engagez-vous vers reject.
Pourquoi ma politique DMARC n’est-elle pas activée ?
Habituellement parce qu’elle est réglée sur p=none, qui est de la surveillance uniquement et n’applique rien — de sorte que votre domaine reste usurpable. Elle peut aussi apparaître désactivée si SPF dépasse la limite de 10 recherches et renvoie une PermError, cassant silencieusement l’alignement de sorte que le courrier légitime échoue à DMARC. Vérifiez votre enregistrement avec un vérificateur SPF, corrigez l’alignement, puis progressez de none à reject.