Defaults.Exposed › Rapports

Vous avez réglé DMARC sur p=none — voici pourquoi vous restez exposé (2026)

Publié 2026-06-29

Chiffres au 2026-06-29 · méthodologie v7. Données agrégées de recensement sur 261 millions de domaines évalués. « Appliquer » signifie une politique DMARC de quarantine ou reject. Voir comment nous évaluons.

Si votre enregistrement DMARC indique p=none, votre domaine peut toujours être usurpé — l’enregistrement surveille, il ne protège pas. C’est le piège de fausse sécurité le plus courant dans le courrier électronique : p=none donne l’impression que DMARC est « terminé », passe une vérification de conformité superficielle et ne fait rien pour arrêter une falsification. Au 2026-06-29, 14,29% de tous les domaines sont en p=none — en réalité plus que les 10,59% qui atteignent une politique d’application.

Ce que p=none fait réellement

DMARC a trois politiques, et seulement deux d’entre elles vous protègent :

• p=none — « surveillance uniquement ». Demande aux serveurs de messagerie destinataires de signaler les courriels falsifiés mais de les livrer quand même. Aucune protection. 14,29% des domaines.
• p=quarantine — envoyer le courrier en échec vers le spam.
• p=reject — refuser directement le courrier en échec.

p=none existe pour une raison : c’est la première étape sûre, où vous collectez des rapports et confirmez que votre courrier légitime passe avant d’activer l’application. Le piège, c’est de s’arrêter là. Un domaine laissé indéfiniment sur p=none est, du point de vue d’un attaquant, identique à un domaine sans aucun DMARC — le courriel falsifié arrive toujours dans la boîte de réception.

Les chiffres montrent que la plupart des domaines s’arrêtent trop tôt

Au total, 89,41% des domaines peuvent être usurpés — et une grande partie d’entre eux possède un enregistrement DMARC, mais pas un enregistrement qui applique. Ils ont fait la partie difficile et se sont arrêtés à une étape de la protection.

Comment passer de p=none à protégé

Vous ne passez pas directement à reject. Le chemin sûr, une fois que vos rapports montrent que le courrier légitime passe :

1. Confirmez l’alignement sur p=none — vérifiez que les rapports DMARC montrent que vos vrais expéditeurs (SPF/DKIM) passent.
2. Passez à p=quarantine — le courrier en échec va dans le spam. Surveillez pendant une ou deux semaines.
3. Passez à p=reject — le courrier en échec est refusé. C’est le réglage qui arrête réellement l’usurpation.

C’est une progression délibérée, pas un interrupteur unique — mais la destination est l’application. Voir comment corriger DMARC.

Foire aux questions

p=none arrête-t-il l’usurpation de courriel ? Non. p=none ne fait que surveiller — les serveurs destinataires livrent toujours le courrier falsifié. Seul p=quarantine ou p=reject arrête l’usurpation. 14,29% des domaines sont bloqués sur p=none.

p=none est-il mieux que pas de DMARC ? Uniquement pour vous, comme étape temporaire pour rassembler des rapports. Pour la protection contre l’usurpation, cela équivaut à n’en avoir aucun — la falsification passe toujours.

Combien de temps dois-je rester sur p=none ? Juste assez longtemps pour confirmer que votre courrier légitime passe — généralement quelques semaines — puis passez à quarantine et reject. Un p=none indéfini est le piège.

Comment savoir si j’applique la politique ? Vérifiez votre domaine (ci-dessous) — il lit votre politique réelle et vous indique si elle applique, surveille uniquement ou est absente.

Vérifiez si votre DMARC vous protège vraiment

p=none est un point de contrôle, pas une destination. Vérifiez votre domaine gratuitement et en toute confidentialité — voyez votre politique réelle et le chemin vers l’application.

Vérifiez votre domaine → · Corriger DMARC → · Quelqu’un peut-il usurper votre domaine ? → · Données agrégées uniquement. Données stockées et traitées dans l’UE.