p=quarantine ou p=reject : lequel choisir ?

Le vrai arbitrage : faux positifs contre force de protection

Toute la décision tient dans une tension : plus la politique est dure, plus elle protège, mais plus le coût d'une erreur d'alignement est élevé.

• En quarantine, une source oubliée coûte un email en spam — un incident visible, réversible, qu'un utilisateur peut signaler.
• En reject, la même source oubliée coûte un email disparu — un incident potentiellement invisible jusqu'à ce qu'un client se plaigne de ne jamais avoir reçu sa confirmation.

Ce n'est donc pas « quelle politique est la meilleure » dans l'absolu (reject gagne toujours en protection), mais « quelle politique correspond à la capacité réelle de garantir des rapports propres ». Un domaine dont l'écosystème d'envoi est simple et stable peut aller droit en reject. Un domaine avec vingt prestataires, des filiales et un historique de surprises a intérêt à s'attarder en quarantine le temps de bâtir la confiance.

Quand quarantine est une bonne destination — et pas seulement une étape

La vision classique traite quarantine comme un simple palier vers reject. C'est vrai dans la majorité des cas. Mais il existe des situations où s'arrêter (temporairement) à quarantine est un choix légitime, pas une timidité :

• Écosystème d'envoi complexe et mouvant. Si de nouvelles sources apparaissent régulièrement (grande organisation décentralisée, nombreuses filiales), le filet du dossier spam a une vraie valeur opérationnelle le temps de stabiliser l'inventaire.
• Tolérance très faible à la perte silencieuse. Certains flux (support client, notifications critiques) sont tellement sensibles qu'un email perdu sans trace coûte plus cher qu'un email en spam signalé.
• Phase de montée en confiance. Passer quelques jours — parfois quelques semaines — en quarantine avant reject est une pratique saine, pas un aveu de faiblesse.

La nuance importe : quarantine peut être une destination de transition assumée, mais rester en quarantine indéfiniment revient à laisser une porte entrouverte, puisque certains destinataires livrent quand même le spam à l'utilisateur.

Quand reject s'impose

À l'inverse, plusieurs contextes justifient d'aller jusqu'à reject sans traîner :

• Marque à forte valeur d'usurpation — banques, e-commerce, secteur public, tout domaine dont le nom est une monnaie pour les fraudeurs. Le récit détaillé côté bancaire est dans DMARC pour les banques.
• Rapports démontrés propres depuis plusieurs semaines, sans source légitime en échec. Le risque de faux positif est alors quasi nul, et rester en quarantine ne fait que prolonger l'exposition.
• Exigence de conformité ou de partenaire imposant l'application stricte.

Dans ces cas, quarantine n'est qu'un sas de vérification de quelques jours, pas une destination.

Ce que les destinataires font vraiment

Un détail que beaucoup ignorent : tous les destinataires ne traitent pas quarantine de la même manière. Certains le respectent strictement (dossier spam) ; d'autres l'appliquent de façon plus agressive, proche d'un rejet ; d'autres encore sont plus laxistes. La conséquence pratique : quarantine protège moins uniformément que reject. Avec reject, l'instruction est sans ambiguïté et le comportement des grands fournisseurs est cohérent. C'est un argument de plus pour ne pas s'éterniser en quarantine quand rien n'y oblige.

À noter aussi : la politique appliquée dépend de l'alignement observé, vérifiable à froid dans les rapports agrégés DMARC : ils indiquent, destinataire par destinataire, quelle disposition a réellement été prise.

Le courrier indirect : transferts et listes de diffusion

Un flux réagit différemment aux deux politiques : le courrier qui atteint son destinataire via un intermédiaire. Un transfert simple préserve en général la signature DKIM, donc DMARC continue de passer. Mais une liste de diffusion qui réécrit le sujet ou ajoute un pied de page casse DKIM, et le transfert casse l'alignement SPF — le message échoue alors à DMARC sans que l'expéditeur y soit pour rien. En quarantine, il finit dans le spam de l'abonné, visible et récupérable. En reject, il rebondit — et certains logiciels de liste interprètent les rebonds répétés comme une adresse morte et désabonnent le lecteur. Beaucoup de listes modernes compensent en réécrivant le From: quand le domaine de l'auteur applique une politique stricte, ce qui règle le problème. Le réflexe pratique : repérer les flux indirects dans les rapports avant de durcir. C'est rarement une raison d'éviter reject — mais c'est une raison de le savoir avant.

Un critère souvent oublié : BIMI

Quand afficher son logo dans les boîtes de réception (BIMI) fait partie des objectifs, la question est tranchée d'avance : BIMI exige une politique d'application (quarantine ou reject, et beaucoup d'écosystèmes demandent reject). Rester en none ferme la porte de BIMI ; c'est un argument business concret pour terminer la montée en politique, au-delà de la seule sécurité.

Un exemple concret

Prenons deux domaines aux profils opposés.

Le premier est celui d'un cabinet de conseil de dix personnes. Il émet depuis une seule plateforme (Google Workspace), plus un outil de facturation. Deux sources, toutes deux alignables en DKIM en une après-midi. Ses rapports sont propres en trois semaines, sans aucune IP légitime en échec. Ici, s'attarder en quarantine n'apporte rien : le risque de faux positif est proche de zéro, l'écosystème ne bougera pas, et chaque jour passé en deçà de reject est un jour où un phishing peut encore atterrir dans le spam d'un client. Décision : quarantine un weekend pour vérifier, puis reject.

Le second est une collectivité avec quinze directions, chacune ayant historiquement branché ses propres outils (newsletters, alertes citoyens, plateformes RH, prestataires événementiels). L'inventaire n'est jamais tout à fait fini ; une nouvelle source apparaît chaque trimestre. Ici, le filet du dossier spam vaut de l'or : passer trop vite en reject ferait disparaître, sans trace, l'email d'une direction qu'on avait oubliée. Décision : quarantine comme destination assumée plusieurs mois, le temps de fiabiliser l'inventaire, puis reject une fois le flux stabilisé — sans jamais oublier que quarantine reste une porte entrouverte.

Même standard, même séquence, deux rythmes différents — parce que le profil de risque, lui, diffère.

Erreurs fréquentes

• Confondre quarantine et « pas encore décidé ». Beaucoup de domaines restent des années en quarantine par inertie, pas par choix. Quand rien n'oblige à s'y attarder, c'est une exposition gratuite.
• Passer en reject sur une photo. Un instantané de rapports propres ne suffit pas : il faut une tendance sur plusieurs semaines pour capter les expéditeurs mensuels. Le sujet est traité dans la checklist d'éligibilité.
• Oublier la politique de sous-domaine. Durcir la racine sans régler sp et np laisse aux attaquants une porte latérale — voir la politique de sous-domaine (sp et np).
• Croire que reject couvre tout. Il stoppe l'usurpation directe du domaine, pas les domaines ressemblants ni le display-name spoofing. C'est une couche, pas un rempart total.

Le cadre de décision, en une phrase

reject par défaut, et quarantine seulement comme sas de transition ou comme destination consciente lorsqu'un flux critique et un écosystème mouvant rendent la perte silencieuse plus coûteuse que le spam signalé. Dans tous les cas, la décision doit être prise, pas subie : une politique choisie par peur — « on reste en quarantine, c'est plus prudent » — sans avoir vérifié les rapports est une décision par défaut déguisée.

La séquence complète de la montée (none → quarantine → reject) est déroulée pas à pas dans atteindre p=reject sans casser ses emails ; pour maîtriser le rythme de ce durcissement, voir déployer DMARC progressivement.

Avant de publier la politique cible, un passage du domaine dans l'analyseur DMARC gratuit montre l'alignement réel de chaque source et dit, concrètement, si le durcissement peut se faire sans risque. C'est la manière la plus rapide de remplacer l'anxiété du choix par une décision fondée sur des faits.