DMARC — que veulent dire p=none, p=quarantine et p=reject

DMARC transforme SPF et DKIM en politique applicable et vous fait remonter des rapports. La grande majorité des domaines s’arrêtent à p=none, qui ne protège rien.

Le rôle de DMARC

SPF et DKIM répondent chacun à une question technique étroite. DMARC ajoute les deux choses qui manquaient : l’alignement avec l’adresse que voit réellement le destinataire, et une instruction sur ce qu’il faut faire des messages non conformes.

v=DMARC1; p=reject; rua=mailto:rapports@exemple.fr; adkim=s; aspf=s

L’enregistrement se publie en TXT sur _dmarc.exemple.fr.

Les trois politiques

`p=none` — observation

Aucun effet sur la remise. Les messages usurpant votre domaine continuent d’arriver normalement en boîte de réception. La seule chose que p=none fait, c’est déclencher l’envoi de rapports.

C’est la bonne première étape, et c’est aussi le piège : la grande majorité des domaines s’y arrêtent, en croyant être protégés. p=none ne protège rien.

`p=quarantine` — mise en indésirable

Les messages non conformes sont livrés dans le dossier indésirable. La protection devient réelle : un client qui reçoit une fausse facture à votre nom a désormais de bonnes chances de ne pas la voir dans sa boîte principale.

`p=reject` — refus

Les messages non conformes sont refusés à la porte, avant même d’arriver. C’est la cible.

Les balises qui comptent

Balise	Rôle	Défaut
`p`	Politique du domaine.	Obligatoire
`sp`	Politique des sous-domaines.	Reprend `p`
`pct`	Pourcentage de messages concernés.	`100`
`rua`	Où envoyer les rapports agrégés.	Aucun
`adkim` / `aspf`	Alignement strict (`s`) ou souple (`r`).	`r`

Deux erreurs classiques :

Un p=reject sans rua. Vous durcissez la politique sans aucune visibilité sur ce que vous bloquez. Si un prestataire légitime n’était pas recensé, ses messages disparaissent purement et simplement, et personne ne s’en aperçoit avant qu’un client se plaigne.

Un sp=none sous un p=reject. Les sous-domaines inutilisés sont précisément la cible préférée des usurpateurs : factures.exemple.fr n’envoie rien, donc personne ne surveille rien.

La progression recommandée

Publiez p=none avec un rua. Attendez deux à quatre semaines.
Lisez les rapports agrégés. Identifiez chaque source d’envoi légitime : messagerie, outil marketing, CRM, facturation, formulaire du site.
Corrigez SPF et DKIM pour que ces sources soient alignées.
Passez à p=quarantine, éventuellement avec pct=25 puis 50 puis 100.
Passez à p=reject une fois les rapports propres.

Compter deux à trois mois pour un domaine d’entreprise avec plusieurs outils. La précipitation à cette étape se paie en e-mails perdus.

Lire les rapports agrégés

Les rapports rua arrivent en XML compressé, une fois par jour, envoyés par chaque grand fournisseur de messagerie. Ils sont illisibles à l’œil nu et c’est leur principal défaut : ils contiennent exactement l’information dont vous avez besoin, dans un format que personne ne peut consulter sans outil.

Silently ingérera ces rapports dans une prochaine version, pour transformer ce XML en une réponse simple : qui envoie en votre nom, et qui n’est pas aligné.