De p=none à p=reject sans perdre un seul e-mail
Le chemin sûr vers une politique DMARC appliquée : quoi vérifier à chaque étape, comment fonctionnent pct et sp, combien attendre, et que faire quand un service échoue.
Un enregistrement DMARC en p=none ne protège rien. Il demande aux fournisseurs de vous envoyer des rapports, ce qui est utile, mais leur dit de livrer les e-mails usurpés exactement comme avant. La plupart des domaines qui publient DMARC restent en p=none pendant des années, parce que personne ne veut être celui qui a bloqué les factures. Ce guide est le chemin de sortie, par étapes assez petites pour que rien ne casse.
Avant de commencer
Il vous faut deux semaines de rapports. Si votre enregistrement n’a pas d’adresse rua=, ajoutez-en une maintenant et attendez : sans rapports, vous durcissez à l’aveugle. Lisez-les comme l’explique Lire les rapports DMARC jusqu’à ce que chaque service que vous utilisez réussisse avec DKIM aligné sur votre domaine.
Vérifiez aussi votre enregistrement SPF : s’il demande plus de dix requêtes DNS, il échoue pour tout le monde (permerror), et DMARC repose alors sur DKIM seul. Le vérificateur SPF les compte.
Étape 1 : mettre en quarantaine une petite part
v=DMARC1; p=quarantine; pct=10; rua=mailto:dmarc@votredomaine.frpct=10 demande aux fournisseurs d’appliquer la politique à 10 % des messages en échec et de traiter le reste comme p=none. Les e-mails en échec arrivent maintenant en indésirables, pour un sur dix. Surveillez les rapports et votre boîte de support pendant une semaine. Si un client dit que vos factures sont arrivées en indésirables, les rapports vous disent quel service les a envoyées.
Étape 2 : tout mettre en quarantaine
Montez pct à 25, 50 puis 100, une semaine à chaque fois, ou directement à 100 si les rapports ne montrent aucun de vos services en échec. Notez que pct est appliqué de façon inégale : certains fournisseurs traitent toute valeur inférieure à 100 comme 0 ou comme 100. Il ralentit le changement ; ce n’est pas un réglage précis. (La révision DMARCbis de la norme remplace pct par un simple drapeau de test, t=y ; les fournisseurs actuels lisent toujours pct.)
Étape 3 : rejeter
v=DMARC1; p=reject; rua=mailto:dmarc@votredomaine.frLes e-mails usurpés sont désormais refusés avant d’atteindre une boîte. C’est le réglage qui empêche quelqu’un d’envoyer « merci de payer sur ce nouvel IBAN » depuis votre adresse.
Les sous-domaines : sp=
Sans sp=, les sous-domaines héritent de p=. Si vous avez un jour mis sp=none pour protéger un sous-domaine d’envoi, pensez à le retirer, sinon les attaquants utiliseront simplement facturation.votredomaine.fr. Les sous-domaines qui n’envoient jamais d’e-mails n’ont besoin de rien de plus : une politique appliquée sur le parent les couvre.
Les domaines qui n’envoient jamais d’e-mails
Enregistrements défensifs, anciens noms de marque, le .com acheté pour protéger le .fr : passez-les directement en p=reject, avec un SPF vide :
votredomaine.com. TXT "v=spf1 -all"
_dmarc.votredomaine.com. TXT "v=DMARC1; p=reject;"Il n’y a rien à surveiller, puisque rien de légitime n’en part.
Quand un envoi légitime échoue
Cela arrive : un nouvel outil, un partenaire qui envoie pour vous, une vieille imprimante qui envoie les numérisations par e-mail. Ne revenez pas à p=none. Trouvez le service dans les rapports, configurez son authentification de domaine (DKIM avec votre domaine), et les e-mails passent de nouveau. Revenir à none rouvre la porte à tout le monde pour corriger un seul expéditeur.
Combien de temps
Pour la plupart des petites entreprises : deux semaines de rapports, une ou deux semaines de corrections, puis trois à cinq semaines d’étapes. Six à dix semaines en tout, surtout de l’attente.
Laissez les rapports décider
Perimetry Cloud lit vos rapports DMARC chaque jour et ne propose chaque étape que lorsque les rapports montrent qu’elle est sans risque : aucune de vos sources en échec sur la dernière période, assez de volume pour en juger. Avec les offres Agency, il peut appliquer l’étape dans votre DNS pour vous, chez Cloudflare, OVHcloud ou Gandi, avec un bouton d’annulation.
Une fois la politique appliquée, le domaine peut aussi afficher son logo dans les messageries qui prennent en charge BIMI : le vérificateur BIMI gratuit lit l’enregistrement, le logo et le certificat de marque.