Atteindre p=reject sans casser ses emails

Étape 2 : inventorier chaque source légitime

Les rapports agrégés révèlent chaque IP émettant pour le domaine. Le travail consiste à transformer cette liste d'adresses en liste de services : « cette IP à fort volume qui passe DKIM est la plateforme mail de l'entreprise ; celle qui échoue aux deux est le CRM ; cette autre est un outil de sondage que le marketing avait oublié. » Cet inventaire est tout l'enjeu — impossible d'appliquer une politique sereinement sans savoir, avec certitude, qui envoie légitimement pour le domaine. Les surprises sont la règle ; il y a toujours quelques sources dont personne ne se souvenait.

Étape 3 : aligner chaque source légitime

Pour chaque expéditeur légitime, il faut s'assurer qu'il passe SPF ou DKIM et s'aligne avec le domaine du From:. En pratique, cela signifie généralement mettre en place une signature DKIM avec un domaine à la marque de l'organisation (d=exemple.fr) sur chaque plateforme, car les expéditeurs tiers alignent rarement SPF. La liste se parcourt jusqu'à ce que chaque vraie source affiche un passage aligné dans les rapports. C'est l'essentiel de l'effort, et là que passe le plus de temps calendaire.

Étape 4 : passer à quarantine

Quand les rapports montrent toutes les sources légitimes alignées, la politique monte à p=quarantine. Le courrier non authentifié part désormais en indésirable plutôt qu'en boîte — une défense réelle, mais réversible si quelque chose a échappé à l'inventaire. Historiquement, on échelonnait avec la balise pct (pct=25, puis 50, puis 100) pour appliquer la politique à une fraction croissante du courrier en échec. DMARCbis (2026) retire pct au profit d'un mode test binaire (la balise t=y) et d'une montée appuyée sur l'observation des rapports plutôt que sur un pourcentage. En pratique aujourd'hui : quand l'outillage et les destinataires honorent encore pct, il reste utilisable le temps de la transition ; sinon, l'avancée se fait par étapes courtes — quelques jours en quarantine à surveiller les rapports — avant le passage à reject.

Étape 5 : passer à reject

Quand quarantine tourne proprement — les seules sources en échec restantes sont inconnues, c'est-à-dire des usurpateurs — la politique monte à p=reject. Le courrier falsifié au nom du domaine est désormais refusé à l'entrée. La politique de sous-domaine (sp) se règle en conséquence, pour que les attaquants ne basculent pas simplement sur un sous-domaine. L'application est atteinte.

DMARCbis : ce que ça change pour la montée en politique

Publié en mai 2026 (RFC 9989/9990/9991), DMARCbis modernise le standard sans rendre ce parcours obsolète — la séquence none → quarantine → reject reste exactement la bonne. Deux nouveautés méritent l'attention pendant la montée :

• La balise np. Elle fixe la politique des sous-domaines inexistants — une cible d'usurpation classique, car un attaquant peut forger facture.exemple.fr même si ce sous-domaine n'existe pas. C'est un gain rapide et sans risque : np=reject se pose tôt, dès que la racine est saine, puisqu'aucun courrier légitime ne part de sous-domaines qui n'existent pas.
• pct → t et le DNS Tree Walk. pct disparaît (cf. étape 4) et la détermination du domaine organisationnel ne dépend plus de la Public Suffix List mais d'une suite de requêtes DNS (huit maximum). Rien à refaire dans la progression : l'enregistrement reste valide, c'est juste l'occasion de retirer un pct devenu inutile.

Combien de temps ça prend ?

Pour un petit domaine avec une ou deux sources, quelques jours. Pour une grande organisation aux dizaines de plateformes réparties entre métiers et régions, quelques mois est normal — surtout passés sur l'étape 3, l'alignement des sources, pas sur le changement de politique. Le rythme est fixé par la vitesse à laquelle chaque plateforme se configure, pas par DMARC lui-même. Pour des repères plus fins selon la taille de l'organisation et l'étape en cours, voir combien de temps prend le passage à p=reject.

Comment savoir qu'un domaine est prêt à durcir

Le bon moment ne se devine pas ; les rapports le disent. Trois signaux concrets avant de monter d'un cran :

• Les sources légitimes connues affichent toutes un passage aligné sur plusieurs jours de rapports — pas une fois par hasard, mais de façon stable.
• Les seules lignes en échec restantes sont des IP non reconnues, à faible volume ou en pics isolés : le profil d'un usurpateur ou d'un transfert, pas d'un service métier.
• Aucune source mensuelle ne manque à l'appel. Facturation, relevés, campagnes trimestrielles : il faut avoir vu passer au moins un cycle complet avant de conclure que l'inventaire est exhaustif.

Si ces trois cases sont cochées, l'étape suivante est sûre. Sinon, mieux vaut rester en place et corriger d'abord la source qui manque — durcir sur un inventaire incomplet est exactement ce qui casse du courrier légitime.

Pièges courants en chemin

• Durcir trop tôt. Le moyen le plus courant de casser son courrier. Les rapports doivent prouver qu'une source est alignée avant qu'on l'enforce.
• Oublier la distinction enveloppe / en-tête. Une source peut passer SPF brut et échouer DMARC faute d'alignement. C'est l'alignement qu'il faut lire, pas seulement pass/fail.
• Laisser les sous-domaines ouverts. La racine est enforcée mais sp est oublié, et les usurpateurs passent à mail.exemple.fr.
• S'arrêter à quarantine. C'est un progrès, mais le courrier usurpé atteint encore le dossier indésirable, où certains utilisateurs le repêchent. reject est l'objectif. Les deux paliers ne se valent pas — le comparatif détaillé montre ce que chacun bloque réellement.

Ancrer la démarche dans l'organisation

Un dernier levier ne relève pas du DNS mais de la gouvernance. Les équipes émettrices — marketing, RH, commercial, produit — doivent être prévenues avant chaque changement de palier : ce sont elles qui remarqueront en premier qu'une campagne part en indésirable, et un signalement rapide vaut mieux qu'une découverte tardive. Surtout, une règle simple s'impose pour la suite : aucun nouvel outil d'envoi ne passe en production sans signature DKIM alignée sur le domaine. Sans ce réflexe, la première plateforme souscrite après le passage en reject verra ses messages disparaître silencieusement, et la crise que la montée méthodique avait épargnée se rejouera à l'identique. L'application n'est pas un état qu'on atteint, c'est un état qu'on entretient — et l'entretien coûte bien moins cher intégré au processus d'achat qu'improvisé après coup.

Pourquoi p=reject en vaut la peine

Atteindre l'application est un vrai projet ; il est donc légitime de se demander ce que ça rapporte au-delà de cocher une case de conformité. Beaucoup, en réalité :

• L'usurpation s'arrête vraiment. C'est l'essentiel. En p=reject, un email falsifié utilisant le domaine exact dans le From: est refusé par les destinataires avant même d'atteindre un client. Le phishing qui usurpe la marque cesse simplement d'être délivrable — ni filtré, ni signalé, mais refusé d'emblée.
• Une meilleure délivrabilité pour le vrai courrier. Les fournisseurs font davantage confiance aux domaines qui appliquent une politique. Un domaine en p=reject avec un alignement propre est un fort signal de réputation positif, dont profitent chaque jour les campagnes légitimes et les messages transactionnels.
• La conformité, réglée. Le DMARC appliqué satisfait largement les exigences expéditeurs de Gmail et Yahoo, et constitue un contrôle clair et auditable à présenter pour des cadres comme NIS2 et DORA.
• L'opportunité du logo. Seuls les domaines qui appliquent une politique peuvent publier BIMI et afficher un logo vérifié dans la boîte de réception — une marque de confiance visible et un actif de marque qu'on ne débloque d'aucune autre façon.
• Une tranquillité durable. Une fois en reject avec la surveillance maintenue, toute nouvelle source non autorisée apparaît dans les rapports plutôt que dans les boîtes des clients. Le difficile est l'ascension ; y rester revient surtout à vérifier que les rapports restent propres.

Rapportés au coût d'une seule usurpation réussie — pertes de fraude, surcharge du support, atteinte durable à la marque — les quelques semaines d'alignement se rentabilisent vite. La vraie erreur n'a jamais été l'effort de l'ascension ; c'est de s'arrêter en p=none et de confondre surveillance et protection.

Thomas fait le gros du travail

Cette séquence, c'est exactement ce qu'automatise Thomas, le RSSI virtuel. Il ingère les rapports, nomme chaque source d'envoi, génère le DNS exact à coller (balises DMARCbis comprises), évalue la préparation du domaine sur des données glissantes, et indique le moment précis où chaque étape est sûre — de p=none jusqu'à p=reject, sans bloquer un seul email légitime.

Analyser un domaine gratuitement ou créer un compte pour démarrer. Pour voir où en sont des secteurs entiers, l'Observatoire DMARC montre noir sur blanc combien de domaines restent bloqués à mi-chemin, en p=none.