Le tag p= d'un enregistrement DMARC accepte trois valeurs : none (ne rien faire, juste observer), quarantine (mettre en quarantaine, généralement le dossier spam) et reject (rejeter purement et simplement). Le bon choix dépend d'où vous en êtes dans votre déploiement, pas d'une préférence absolue — et la plupart des erreurs viennent de vouloir sauter directement à reject.

p=none : observer sans rien bloquer

v=DMARC1; p=none; rua=mailto:dmarc-reports@exemple.com

p=none n'a aucun effet sur la livraison des emails, même ceux qui échouent l'authentification. Son seul rôle est d'activer la collecte de rapports agrégés (rua) : vous voyez qui envoie des emails avec votre domaine, avec quel taux de réussite SPF/DKIM, sans prendre le moindre risque.

Quand l'utiliser : systématiquement en premier, dès la création de l'enregistrement DMARC. C'est une phase d'observation, pas une politique de protection — ne la laissez pas en place indéfiniment en pensant que votre domaine est protégé.

p=quarantine : filtrer sans bloquer complètement

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-reports@exemple.com

Les emails non conformes sont envoyés en quarantaine — dans la plupart des cas, le dossier spam du destinataire — plutôt que d'être bloqués. C'est un filet de sécurité intermédiaire : l'email n'est pas perdu, mais il n'atterrit plus en boîte de réception principale.

Le tag pct= permet de n'appliquer la politique qu'à un pourcentage des messages non conformes. Démarrer à pct=25 puis augmenter progressivement (50, 75, 100) sur plusieurs semaines permet de limiter l'impact si un expéditeur légitime a été oublié dans votre configuration SPF ou DKIM.

Quand l'utiliser : une fois que les rapports agrégés de la phase p=none ont été analysés et qu'aucune source d'envoi légitime inattendue n'apparaît en échec.

p=reject : le rejet pur et simple

v=DMARC1; p=reject; pct=100; rua=mailto:dmarc-reports@exemple.com

Les emails non conformes sont rejetés par le serveur receveur — ils n'arrivent ni en boîte de réception, ni en spam. C'est la politique la plus stricte, et celle qui offre la meilleure protection contre l'usurpation de votre domaine.

Quand l'utiliser : uniquement après avoir validé p=quarantine à 100 % sur une période suffisante (plusieurs semaines) sans effet secondaire constaté sur des expéditeurs légitimes. Sauter directement à p=reject sans cette phase de validation est la cause la plus fréquente d'emails métier (facturation, RH, outils internes) qui cessent brutalement d'arriver.

Le chemin de déploiement recommandé

  1. p=none avec rua configuré, pendant 2 à 4 semaines. Objectif : identifier tous les expéditeurs légitimes.
  2. p=quarantine; pct=25, en augmentant progressivement le pct sur plusieurs semaines en surveillant les rapports.
  3. p=quarantine; pct=100, stabilisé, sans échec inattendu constaté.
  4. p=reject; pct=100, la politique cible pour une protection complète.

Chaque étape doit durer assez longtemps pour capter des cycles d'envoi complets — certains expéditeurs légitimes (rapports mensuels, relances trimestrielles) n'apparaissent pas dans une fenêtre de quelques jours seulement.

Le tag sp : une politique différente pour les sous-domaines

sp= (subdomain policy) permet d'appliquer une politique différente aux sous-domaines non couverts explicitement. C'est utile si vos sous-domaines n'envoient jamais d'emails : sp=reject ferme cette surface d'attaque même si votre domaine principal est encore en p=quarantine.