Beaucoup d'entreprises activent DMARC une fois, en mode none, puis n'y touchent plus jamais. C'est pourtant la configuration la plus faible possible : elle collecte des informations mais ne bloque absolument rien. Passer en mode reject est l'étape qui transforme DMARC d'un simple outil de surveillance en une véritable barrière contre l'usurpation de votre domaine.
Les trois niveaux de DMARC
La politique DMARC se règle via le tag p= dans l'enregistrement TXT, avec trois valeurs possibles :
- none : aucune action, les emails non conformes sont délivrés normalement, seuls des rapports sont générés ;
- quarantine : les emails non conformes sont envoyés vers le dossier spam du destinataire ;
- reject : les emails non conformes sont purement et simplement refusés par le serveur receveur, avant même d'atteindre une boîte de réception.
Pourquoi ne pas sauter directement à reject
Passer en reject sans préparation présente un risque réel : si un service tiers légitime (un CRM, un outil de facturation, une plateforme d'emailing) envoie des emails en votre nom sans être correctement couvert par votre SPF ou votre DKIM, ces emails seront rejetés exactement comme ceux d'un usurpateur. DMARC ne fait pas de distinction entre une vraie tentative de fraude et un oubli de configuration de votre côté.
Lire ses rapports agrégés avant de durcir la politique
Le tag rua de l'enregistrement DMARC indique une adresse où recevoir des rapports agrégés quotidiens, envoyés par les grands fournisseurs de messagerie (Gmail, Outlook notamment). Ces rapports listent chaque source ayant envoyé un email en se présentant comme votre domaine, et précisent si elle a passé ou échoué les contrôles SPF et DKIM. Les analyser pendant plusieurs semaines en mode quarantine permet d'identifier tous vos expéditeurs légitimes avant de durcir la politique.
Passer à reject sans bloquer ses propres emails
La progression recommandée reste progressive : commencer en none pour observer, passer en quarantine une fois les sources légitimes identifiées et corrigées, puis seulement ensuite passer en reject une fois certain qu'aucune source légitime n'échoue plus les contrôles. Chaque palier doit être observé plusieurs jours avant de passer au suivant.
Le rôle du tag pct pour une transition plus douce
Pour limiter le risque lors de la transition, DMARC propose un paramètre souvent méconnu : le tag pct, qui permet d'appliquer la politique durcie (quarantine ou reject) à seulement un pourcentage des emails non conformes, plutôt qu'à la totalité d'un coup. Démarrer avec un pct=25 par exemple, puis augmenter progressivement cette proportion sur plusieurs semaines, permet d'observer l'effet réel du durcissement sur un échantillon limité avant de l'appliquer à l'ensemble du trafic. Cette approche progressive convient particulièrement bien aux organisations avec de nombreux services tiers envoyant en leur nom, où une bascule brutale à 100 % présenterait un risque plus difficile à anticiper entièrement à l'avance.
Au-delà du seul pourcentage appliqué, la durée totale de cette phase de transition mérite d'être planifiée avec la même rigueur. Une entreprise avec un volume d'envoi important et varié gagne à prévoir plusieurs semaines, voire quelques mois, entre le début de l'application de la politique durcie et son déploiement complet à 100 % du trafic. Cette patience permet de couvrir l'ensemble des cycles d'activité de l'entreprise, y compris des envois ponctuels ou saisonniers qui n'apparaîtraient pas dans une analyse menée sur une période plus courte. Précipiter cette transition, à l'inverse, expose au risque de découvrir un expéditeur légitime oublié seulement au moment où ses emails commencent à être bloqués en production, une situation bien plus coûteuse à corriger dans l'urgence qu'à anticiper calmement en amont.
Combien de temps rester en quarantine avant de passer à reject ?
Suffisamment longtemps pour couvrir un cycle d'activité complet de votre entreprise (facturation mensuelle, campagnes ponctuelles), généralement plusieurs semaines, le temps de voir apparaître tous les expéditeurs légitimes dans les rapports.
Que se passe-t-il si un prestataire envoie en mon nom sans être couvert ?
En mode reject, ses emails sont bloqués avant livraison. C'est précisément pour éviter ce cas que l'analyse préalable des rapports DMARC est indispensable, afin d'ajouter ce prestataire à votre SPF ou de configurer sa signature DKIM.
DMARC reject bloque-t-il des emails légitimes qui échouent par erreur ?
Oui, c'est le risque inhérent au mode reject : tout email qui échoue l'alignement SPF ou DKIM est refusé, qu'il soit frauduleux ou simplement mal configuré du côté de l'expéditeur légitime.
Mettre en place une politique DMARC complète demande une analyse fine de tous vos flux d'emails sortants. Pour vos domaines liés à une offre de messagerie professionnelle ou messagerie entreprise chez VSP TECH, notre support peut vous accompagner dans cette montée en puissance via le formulaire de contact.
