Defaults.Exposed › Rapports

Qu'est-ce que DMARC ? p=none, quarantine et reject expliqués (2026)

Publié 2026-07-01

Chiffres au 2026-06-29 · méthodologie v7. Données de recensement agrégées sur 261 millions de domaines évalués. DMARC est la politique DNS qui indique aux serveurs de messagerie destinataires quoi faire des messages qui échouent à l’authentification. Voir comment nous évaluons.

DMARC est l’instruction qui décide si un e-mail falsifié en votre nom est rejeté, mis en quarantaine ou distribué normalement. Elle a trois réglages — none, quarantine, reject — et seuls les deux derniers vous protègent réellement. Sur 261 millions de domaines, seuls 10,59 % appliquent une politique. La plupart des autres ne publient rien (75,11 %) ou publient un enregistrement de simple surveillance qui ressemble à une protection mais n’arrête rien (14,29 %). Voici ce que fait chaque politique.

Ce que signifient les trois politiques DMARC

DMARC relie SPF et DKIM à l’adresse « From » visible et indique aux destinataires quoi faire en cas d’échec :

• p=none (surveillance seule) — « laisse passer, mais envoie-moi des rapports ». Utile comme première étape temporaire pour voir qui envoie en votre nom. Cela ne bloque pas les falsifications. 14,29 % de tous les domaines en sont là — la mauvaise configuration la plus répandue, car elle passe un audit superficiel tout en laissant la porte ouverte.
• p=quarantine — « envoie le courrier en échec vers les indésirables ». Une véritable protection. 5,28 % des domaines l’utilisent.
• p=reject — « refuse purement et simplement le courrier en échec ». Le réglage le plus fort. 5,31 % des domaines l’utilisent.

Ensemble, quarantine et reject — les deux politiques d’application — ne couvrent que 10,59 % des domaines. Seuls 8,89 % collectent les rapports agrégés (rua) qui vous indiquent qui envoie en votre nom.

« Nous avons publié DMARC » n’est pas la même chose que « nous appliquons DMARC »

C’est là le piège. Publier un enregistrement donne l’impression d’avoir franchi la ligne d’arrivée, mais un enregistrement p=none est un détecteur de fumée sans pile — il observe, il n’agit pas. Et les fautes de frappe vous rétrogradent silencieusement à rien du tout : 48 648 domaines (0,07 % des enregistrements DMARC) ont un jeton de politique que les destinataires ne peuvent pas lire — des fautes d’orthographe comme quarentine ou la mauvaise langue — de sorte qu’il est traité comme une absence de politique. Voir pourquoi p=none n’est pas une protection et les fautes de frappe DMARC.

Comment configurer DMARC ?

Faites-le dans l’ordre — appliquer une politique avant que SPF et DKIM soient solides fera rebondir votre propre courrier :

1. Publiez d’abord SPF et DKIM et confirmez que votre courrier légitime passe les deux.
2. Commencez à p=none avec rua — un enregistrement comme v=DMARC1; p=none; rua=mailto:you@yourdomain. Surveillez les rapports pendant quelques semaines pour repérer chaque expéditeur légitime.
3. Passez à p=quarantine, puis à p=reject une fois les rapports propres. Cette dernière étape est celle qui arrête réellement l’usurpation d’identité. Voir corriger DMARC.

Application par extension de domaine

Plus le pourcentage est élevé, mieux c’est — la part qui bloque effectivement la falsification. Au 2026-06-29 :

Même l’extension majeure la plus performante n’applique une politique que sur une minorité de ses domaines.

Foire aux questions

Qu’est-ce qu’un enregistrement DMARC ? Un enregistrement DNS TXT situé à _dmarc.yourdomain commençant par v=DMARC1, dont la valeur p= indique aux destinataires quoi faire du courrier qui échoue à l’authentification : none, quarantine ou reject.

p=none suffit-il ? Non. p=none est en surveillance seule et ne bloque rien. 14,29 % des domaines s’arrêtent là et restent usurpables. Seuls quarantine ou reject vous protègent.

Quelle est la différence entre quarantine et reject ? quarantine envoie le courrier en échec vers les indésirables ; reject le refuse entièrement. Reject est le plus fort. Au 2026-06-29, 5,28 % des domaines mettent en quarantaine et 5,31 % rejettent.

DMARC bloquera-t-il mon propre e-mail ? Seulement si SPF ou DKIM ne sont pas d’abord correctement configurés. C’est pourquoi vous commencez à p=none, surveillez les rapports et resserrez une fois que tous vos expéditeurs légitimes passent.

DMARC est-il gratuit ? Oui — c’est un enregistrement DNS. Le coût, c’est le temps nécessaire pour le déployer en toute sécurité, pas de l’argent.

Vérifiez gratuitement le DMARC de votre domaine

Découvrez si votre politique DMARC applique réellement une protection — en toute confidentialité et réservé au propriétaire.

Vérifier votre domaine → · Corriger DMARC → · Quelqu’un peut-il usurper mon domaine ? → · Comment nous évaluons → · Données agrégées uniquement. Données stockées et traitées dans l’UE.