p=none, quarantine, reject : quelle politique DMARC choisir ?

La balise p= de votre enregistrement DMARC dit aux destinataires quoi faire d’un message qui échoue à l’authentification. Trois valeurs possibles, et une seule bonne façon de passer de l’une à l’autre.

p=none — observer

Rien ne change pour les messages : ils sont livrés comme avant, qu’ils passent ou non. En revanche, vous recevez les rapports. C’est un mode de mesure, pas de protection.

C’est toujours le point de départ, et son intérêt est réel : c’est le seul moyen de découvrir l’inventaire complet de ce qui envoie en votre nom. Presque toujours plus long que prévu — outils marketing, facturation, CRM, formulaires du site, prestataires oubliés.

Piège : rester en none indéfiniment. Cette politique ne protège de rien ; un domaine en p=none reste usurpable sans difficulté.

p=quarantine — mettre de côté

Les messages non conformes sont livrés, mais traités comme suspects — en pratique, le dossier indésirables. Le destinataire peut encore les retrouver.

C’est le palier intermédiaire : une erreur de configuration se traduit par un message en spam, pas par un message perdu. La balise pct= permet d’y aller graduellement — pct=25 n’applique la politique qu’à un quart des messages non conformes.

p=reject — refuser

Le message est refusé au moment de la remise, chez les fournisseurs qui appliquent la politique. Il n’arrive nulle part, pas même en indésirables.

C’est le seul palier qui protège réellement votre domaine contre l’usurpation — et le seul dont une erreur de configuration fait disparaître du courrier légitime sans que personne ne s’en aperçoive avant plusieurs jours.

La progression qui marche

1. SPF et DKIM d’abord, sur tous vos expéditeurs légitimes. Les guides par fournisseur donnent les valeurs exactes.
2. p=none avec rua=, deux à quatre semaines. Objectif : un inventaire complet, pas une impression.
3. Corriger chaque expéditeur légitime qui n’est pas aligné. C’est ici que se fait le vrai travail.
4. p=quarantine, éventuellement avec pct= croissant. Surveiller les rapports de près.
5. p=reject quand le taux de conformité de vos envois légitimes est stable et proche de 100 %.

Deux détails qui coûtent cher

• Les sous-domaines héritent de la politique du domaine parent, sauf si vous publiez sp=. Un sous-domaine oublié qui envoie encore du courrier tombe avec le reste.
• Un domaine qui n’envoie rien mérite quand même un p=reject : c’est même le cas le plus simple et le plus urgent, car rien ne risque d’être cassé.

Chaque étape de cette progression se pilote avec les rapports : Clarsend suit le taux de conformité par domaine et vous alerte quand il se dégrade — le signal qui doit vous retenir de durcir, ou vous prévenir qu’une configuration a bougé après coup.