Contrôle e-mailpar Jarod Capella
Contrôle e-mail / Passer de DMARC p=none à reject : étapes et réglages

Passer de DMARC p=none à reject : étapes et réglages

Par Jarod Capella · Mis à jour le 14 novembre 2026 · 3 min de lecture

Un enregistrement DMARC commence en général par p=none, qui n'agit sur aucun message mais permet de recevoir des rapports. Cette page décrit les réglages qui permettent de durcir la politique par étapes, d'après la RFC 7489 et la RFC 9989 qui l'a remplacée en mai 2026.

Les réglages à connaître

  • p : politique demandée aux destinataires. À toujours mettre (sans p valide, la RFC 9989 fait appliquer p=none si rua est valide, rien sinon). Valeurs : none, quarantine, reject.
  • sp : politique pour les sous-domaines. Facultative ; si elle est absente, p s'applique aussi aux sous-domaines.
  • pct : pourcentage de messages auxquels la politique s'applique, entier de 0 à 100, 100 par défaut (RFC 7489). La RFC 9989 le retire : selon son annexe A.6, les valeurs autres que 0 et 100 étaient appliquées de façon inexacte et variable d'un récepteur à l'autre.
  • t : mode test, créé par la RFC 9989. Avec t=y, le récepteur applique la politique d'un cran en dessous : reject est traité comme quarantine, quarantine comme none. Valeur par défaut : n.
  • adkim et aspf : alignement DKIM et SPF, r (souple) ou s (strict). Facultatifs, r par défaut.
  • rua : adresse qui reçoit les rapports agrégés. Facultative.

Une progression possible

  1. Observer : v=DMARC1; p=none; rua=mailto:dmarc@exemple.fr. Lisez les rapports (voir Lire un rapport DMARC) et listez tous les services qui envoient en votre nom.
  2. Corriger : configurez SPF et DKIM pour chaque service légitime (voir SPF Google et Microsoft et Erreurs courantes) jusqu'à ce que les envois légitimes passent l'alignement.
  3. Tester la politique suivante : v=DMARC1; p=quarantine; pct=0; t=y; rua=mailto:dmarc@exemple.fr. t=y est lu par les récepteurs à jour de la RFC 9989 ; pct=0 joue le même rôle pour ceux restés sur la RFC 7489, qui doivent ignorer t (balise inconnue, section 6.3). La RFC 9989 ne dit pas comment elle traite un pct encore publié : cette combinaison est une déduction, pas une consigne écrite. Voir ce qui change avec la RFC 9989. Lisez les rapports quelques semaines.
  4. Appliquer quarantine : retirez pct=0; t=y.
  5. Passer à reject : même chemin, d'abord p=reject; pct=0; t=y (traité comme quarantine), puis p=reject seul une fois les rapports propres.

L'ancienne méthode pct=10, puis 50, est déconseillée par la RFC 9989 (annexe A.6) pour la raison citée plus haut. La durée de chaque étape n'est fixée par aucune RFC : adaptez-la au volume de vos envois.

Précautions

  • La RFC précise (section 6.7) qu'une politique p=none ne doit pas modifier le traitement habituel des messages.
  • Avec p=reject, un service légitime oublié verra ses messages refusés : c'est la raison de l'étape d'observation.
  • Si vos sous-domaines envoient des messages, vérifiez le comportement de sp avant de durcir.

Contrôlez votre enregistrement avec le vérificateur.

Sources

  • RFC 7489, sections 6.3 et 6.7, https://www.rfc-editor.org/rfc/rfc7489 (lue le 2026-11-03, obsolète depuis mai 2026).
  • RFC 9989, sections 4.7 (balise t), 4.10.1 et annexe A.6 (retrait de pct), https://www.rfc-editor.org/rfc/rfc9989 (texte lu le 2026-11-05).

Une fois en quarantine ou reject, le logo de marque devient possible : vérifier BIMI.