Combien de temps pour atteindre p=reject ?

Le découpage par phase

Le trajet vers l'application n'est pas un interrupteur, c'est un escalier. Chaque marche a sa propre durée, et c'est en additionnant ces marches — pas en fixant une date arbitraire — qu'on obtient un calendrier honnête. La méthode complète, marche par marche, est détaillée dans atteindre p=reject sans casser ses emails ; voici la lecture temporelle.

Phase 1 — Observer en p=none (2 à 4 semaines)

Un enregistrement en p=none est publié avec une adresse de collecte, et l'organisation écoute. Cette phase ne protège rien encore : elle cartographie. Son but unique est de faire remonter, via les rapports agrégés, la liste exhaustive des systèmes qui émettent au nom du domaine. Il faut compter deux à quatre semaines au minimum, pour une raison simple : il faut voir passer un cycle d'activité complet. Un émetteur qui ne tourne qu'une fois par mois — un bulletin de paie, un relevé, une facturation périodique — n'apparaîtra pas dans les rapports de la première semaine. Couper avant d'avoir bouclé ce cycle, c'est durcir sans connaître toutes ses sources. Pour tirer le bon signal de ces fichiers, la référence est comprendre les rapports agrégés DMARC.

Phase 2 — Corriger l'alignement, source par source

C'est la phase qui absorbe l'essentiel du calendrier, et la plus variable. Pour chaque émetteur légitime identifié en phase 1, il faut obtenir un alignement SPF ou DKIM. Concrètement : activer la signature DKIM chez un prestataire, ajouter une inclusion SPF, faire pointer un sous-domaine d'envoi. La durée dépend entièrement des tiers. Un ESP moderne affiche les enregistrements à publier en deux clics ; un vieux système interne peut demander un développement. Les sources se traitent par volume décroissant : sécuriser d'abord ce qui envoie le plus de courrier réduit le risque plus vite. La liste de contrôle pour ne rien oublier à cette étape est dans la checklist DMARC de none à reject.

Phase 3 — Le palier quarantine (avec le mode test)

Une fois les sources principales alignées, on ne saute pas directement à reject. Le passage se fait par p=quarantine, qui envoie le courrier non conforme en indésirables plutôt que de le rejeter franchement — un filet de sécurité. C'est ici que DMARCbis change la donne : à la place de l'ancienne balise pct (retirée), c'est le mode test t=y qui prend le relais ; il signale aux destinataires que la politique est en expérimentation — les écarts doivent être remontés sans que la politique soit encore appliquée strictement. Ce mode permet d'observer l'effet d'une politique plus dure sans risque, aussi longtemps que nécessaire. Le fonctionnement précis de ce levier est expliqué dans la balise t de DMARCbis, qui remplace pct pour temporiser en douceur. Ce palier se garde jusqu'à ce que les rapports soient propres : le débat quarantine contre reject est tranché dans quarantaine ou reject.

Phase 4 — Basculer en reject

Quand les rapports ne montrent plus que du courrier aligné, et que les seuls échecs restants sont manifestement de l'usurpation, la politique passe en p=reject. C'est le seul état qui protège réellement le domaine : les messages frauduleux sont refusés à la porte. Les phases précédentes bien menées, cette bascule est un non-événement — rien ne casse, parce que tout le légitime est déjà aligné. Le rythme d'ensemble et les variantes de déploiement sont couverts dans le déploiement DMARC par étapes.

Ce qui compte, ce n'est pas la vitesse

Voilà le message que je martèle à chaque client : la sécurité de la montée prime sur sa rapidité. p=reject n'est pas une ligne d'arrivée où l'on gagne une médaille pour être passé le premier. C'est un état d'application qui refuse du courrier — y compris le courrier légitime de l'expéditeur, s'il n'est pas aligné. Précipiter le passage en reject avec des sources encore mal configurées, c'est la garantie qu'une facture, une confirmation de commande ou une notification critique finira rejetée. Le coût d'une semaine d'observation en trop est nul. Le coût d'un reject prématuré est un incident de production, des clients qui ne reçoivent plus leurs messages, et une confiance à reconstruire.

C'est d'ailleurs pour ça qu'il ne faut jamais confondre « aller vite » et « aller bien ». Un domaine qui atteint reject en trois semaines mais y arrive en cassant deux sources n'a pas gagné du temps : il a créé un incident qu'il faudra traiter dans l'urgence, souvent en repassant en none — c'est-à-dire en défaisant tout le travail. Le trajet propre, lui, est monotone : chaque marche est franchie quand la précédente est solide, et la bascule finale ne surprend personne.

Pourquoi tant de domaines restent bloqués

À regarder la posture réelle du marché, un constat saute aux yeux : une part importante des domaines reste en p=none, parfois depuis des années. Ce n'est pas de la paresse. C'est presque toujours l'absence de méthode. Les équipes publient un p=none, reçoivent des rapports illisibles bruts, ne savent pas quelles sources aligner ni dans quel ordre, et le chantier s'enlise faute de propriétaire clair. p=none devient un purgatoire confortable : ça a l'air d'être « fait », mais ça ne protège rien. Cette réalité s'observe secteur par secteur dans l'Observatoire DMARC — combien de domaines n'appliquent encore aucune politique. La leçon n'est pas qu'atteindre reject est difficile ; c'est qu'y arriver sans méthode l'est. Avec un inventaire des sources, un ordre de priorité et un palier de test, le chantier redevient linéaire.

Comment raccourcir le délai (sans le précipiter)

Accélérer proprement, c'est possible — en attaquant les bons goulots :

• Inventorier tôt et complètement. Le temps perdu vient rarement de la configuration DNS ; il vient des sources qu'on découvre trop tard. Une phase d'observation menée jusqu'au bout de son cycle évite les rebonds.
• Attaquer les tiers lents en premier. Quand un prestataire met deux semaines à activer DKIM, le ticket s'ouvre le premier jour, pas le dernier. Ces délais externes se parallélisent : autant les lancer tous en même temps.
• Prioriser par volume. Aligner d'abord la source qui porte 80 % du courrier réduit le risque bien plus vite que de commencer par un émetteur marginal.
• Nommer un propriétaire. Le meilleur accélérateur n'est pas technique : c'est une personne responsable de la posture, avec un tableau de bord à jour et le mandat de faire publier les enregistrements. Sans propriétaire, chaque phase s'étire.
• Utiliser le mode test pour ne pas attendre dans le vide. t=y permet d'essayer une politique dure sans l'appliquer : la confiance se construit pendant que les dernières sources se corrigent, au lieu de rester bloqué en observation pure.

Où en est le domaine, aujourd'hui

Le meilleur point de départ est un diagnostic honnête de la situation actuelle. Un passage dans notre analyseur DMARC gratuit suffit : en quelques secondes, la politique en place — none, quarantine ou reject — apparaît, avec ce qui sépare le domaine de l'étape suivante. Reste à situer cette posture par rapport au secteur dans l'Observatoire DMARC — rester en none y apparaît vite comme la norme, pas comme une fatalité.

Décomposer ce calendrier — inventorier les sources, les prioriser, savoir précisément quand durcir sans casser — est exactement ce que Thomas, le RSSI virtuel, automatise : il nomme chaque source depuis les rapports, évalue la préparation du domaine sur des données glissantes, génère le DNS à publier et indique le moment précis où passer la marche suivante, de p=none jusqu'à p=reject. Analyser un domaine gratuitement · explorer l'Observatoire · commencer avec Thomas.