DMARC p=reject vs p=quarantine: Ce politică ar trebui să alegi?

Q: Ce face de fapt pct=?

pct=25 le cere destinatarilor să aplice politica ta pe aproximativ 25% dintre mesajele care pică, permițându-ți să introduci aplicarea treptat. Nu toți destinatarii respectă eșantionarea, iar revizia DMARC din 2026 o înlocuiește cu un steag de test t=y — trateaz-o ca limitator de pagube, nu ca garanție.

Publicat 2026-07-25 · actualizat2026-07-30

Cifre la 2026-08-16 · metodologie v8. Date agregate de recensământ pe 276 milioane de domenii evaluate. DMARC e politica DNS care le spune serverelor de e-mail destinatare ce să facă cu mesajele care pică autentificarea. Vezi cum notăm.

Parte din pilonul DMARC — adopția, maturitatea și clasamentele DMARC, măsurate pe întregul recensământ.

Alege p=reject dacă rapoartele tale DMARC arată că fiecare expeditor legitim trece — e singura politică ce refuză din start e-mailurile falsificate, și pentru majoritatea domeniilor e destinația. Alege p=quarantine ca pas deliberat pe drumul într-acolo, sau ca setare permanentă atunci când un mesaj real marcat greșit trebuie să ajungă într-un dosar de spam din care îl poți recupera, nu să fie respins. Ambele contează ca aplicare; ambele opresc falsificarea de zi cu zi pe care p=none o lasă să treacă. Iar cei care aplică sunt împărțiți aproape exact pe din două: la 2026-08-16, 6.43% dintre domenii carantinează și 5.40% resping — dintr-un total de doar 11.83% care aplică. Acest ghid e decizia dintre cele două — și drumul sigur până acolo.

Ce face fiecare politică, concret, la destinatar

O politică DMARC e o instrucțiune pe care o publici în DNS; serverul de e-mail destinatar e cel care acționează pe baza ei. Când un mesaj care pretinde a fi de la domeniul tău pică autentificarea, valoarea ta p= îi spune destinatarului ce ai vrea să se facă:

Politică	Ce ceri	Un e-mail falsificat	Un e-mail real configurat greșit
`p=none`	„Livrează-l oricum, doar raportează”	Ajunge în inbox	Ajunge în inbox
`p=quarantine`	„Tratează-l ca suspect”	Merge la spam/junk	Merge la spam — recuperabil
`p=reject`	„Refuză-l”	Respins la ușă	Respins — expeditorul primește o eroare

Două detalii contează în practică. Întâi, o politică DMARC e o cerere, nu o comandă — destinatarii o aplică la propria discreție. Marii furnizori de căsuțe poștale o respectă, și de aceea aplicarea funcționează; câțiva furnizori mai mici interpretează quarantine lejer. Al doilea: modurile de eșec diferă într-un fel care conduce întreaga decizie: sub quarantine, un mesaj legitim care pică autentificarea e pus greșit la dosar — enervant, dar stă într-un dosar de junk așteptând să fie găsit. Sub reject, e refuzat în timpul livrării — serverul expeditor primește un bounce. Acel bounce e zgomotos (expeditorul află imediat că ceva s-a stricat), dar mesajul nu ajunge.

De ce p=none e supraveghere, nu protecție

Înainte de a compara cele două politici de aplicare, să fim limpezi în privința celei care nu aplică. p=none le spune destinatarilor să livreze e-mailurile falsificate și să-ți trimită un raport despre asta. Tu primești vizibilitate; falsificatorul primește livrare. E primul pas corect — și locul cel mai frecvent de blocaj: 13.96% din toate domeniile stau la p=none, mai multe decât cele 11.83% care aplică. Din punctul de vedere al unui atacator, un domeniu parcat la p=none e identic cu unul fără DMARC deloc. Dacă acolo e domeniul tău azi, întrebarea nu e reject versus quarantine — e cât de repede poți ajunge în siguranță la oricare dintre ele. Vezi de ce p=none nu e protecție.

Traseul în trepte: none → quarantine → reject

Nimeni n-ar trebui să sară de la monitorizare direct la p=reject — și nimeni nu e nevoit. Rampa de politici e proiectată să fie urcată în pași mici, reversibili:

Începe la p=none cu raportarea pornită — o înregistrare precum v=DMARC1; p=none; rua=mailto:rapoarte@domeniultau. Adună rapoarte agregate câteva săptămâni și dă socoteală de fiecare expeditor legitim: furnizorul de e-mail, platforma de newsletter, aplicația de facturare, CRM-ul. Fă ca fiecare să treacă SPF sau DKIM cu aliniere.
Treci la p=quarantine; pct=10. Eticheta pct le cere destinatarilor să aplice politica pe un eșantion — aici, 10% — din e-mailurile care pică. Dacă ceva legitim începe să ajungă în spam, doar o felie e afectată cât timp repari expeditorul.
Urcă pct — 25, 50, apoi 100 (sau elimină eticheta; 100 e valoarea implicită) — urmărind rapoartele la fiecare pas.
Comută pe p=reject. Aceeași rampă e disponibilă dacă o vrei. Aceasta e setarea care chiar refuză falsificarea la ușă.

Fiecare pas e o singură modificare DNS. Două avertismente oneste: eșantionarea pct nu e respectată de fiecare destinatar — unii aplică orice politică de aplicare integral, așa că tratează rampa ca limitare a pagubelor, nu ca garanție — iar revizia din 2026 a standardului DMARC (DMARCbis) pensionează pct în favoarea unui steag de test mai simplu, t=y, deci așteaptă-te ca uneltele să evolueze. Niciunul dintre avertismente nu schimbă forma drumului: întâi quarantine, urmărește, apoi reject.

Încă o capcană pe drumul în sus: valoarea politicii trebuie scrisă exact none, quarantine sau reject. Recensământul a găsit 38,650 domenii a căror înregistrare poartă un cuvânt pe care destinatarii nu-l pot interpreta — quarentine, rejet, keine — ceea ce retrogradează în tăcere înregistrarea la nicio politică. Lista de greșeli de tastare merită două minute înainte să publici. Dacă îți administrezi DNS-ul la un furnizor mare, ghidurile pas-cu-pas acoperă exact clicurile: Google Workspace, Microsoft 365, Cloudflare.

Când quarantine e alegerea permanentă corectă

Sfatul standard — quarantine e o haltă, reject e destinația — e corect pentru majoritatea domeniilor. Dar „majoritatea” nu înseamnă „toate”, iar împărțirea aproape egală din recensământ (6.43% vs 5.40%) nu e alcătuită doar din domenii în tranzit. Quarantine e o politică permanentă apărabilă atunci când:

E-mailurile tale trec prin redirecționări pe care nu le controlezi. Redirecționarea poate rupe SPF, iar listele de discuții pot rupe DKIM. Dacă rapoartele arată un firicel constant de e-mailuri legitime-dar-picate pe care nu le poți repara la sursă, quarantine păstrează acele mesaje recuperabile în loc să fie respinse.
Un mesaj pierdut costă mai mult decât un fals livrat. Pentru unele afaceri — rezervări, notificări juridice, facturi de la furnizori venite ca răspuns la e-mailurile domeniului tău — cel mai rău caz al lui reject (un mesaj real refuzat, expeditorul crede că a ajuns) cântărește mai greu decât cel mai rău caz al lui quarantine (un fals în dosarul de spam al cuiva).
Ești în mijlocul unei migrări. Schimbarea furnizorului de e-mail sau consolidarea domeniilor redeschide întrebarea „cine trimite ca noi?”; quarantine menține protecție reală până se limpezește tabloul.

Ce te costă quarantine permanent: e-mailurile falsificate tot ajung — în dosarele de junk, de unde unii utilizatori le scot conștiincios. Reject e singura politică sub care un mesaj falsificat nu ajunge niciodată la un om, la un destinatar participant. Dacă rapoartele tale sunt curate de o lună și nimic de mai sus nu se aplică, fă ultimul pas.

Siguranța revenirii: reject nu e o ușă fără întoarcere

Frica ce ține domeniile la p=none ani de zile e „dar dacă stricăm e-mailurile reale?” — așa că merită spus limpede cum arată o revenire: editezi înapoi o singură înregistrare TXT. Schimbarea se propagă în limita TTL-ului tău DNS — setează acel TTL la ceva scurt (300–3600 de secunde) înainte să începi să muți politici, și un pas greșit poate fi complet inversat în câteva minute.

Cele două politici eșuează și diferit, iar a ști asta dinainte e cea mai mare parte a siguranței:

Quarantine greșește în liniște. Un expeditor legitim pe care l-ai ratat ajunge în spam. Nimic nu se pierde; repari autentificarea expeditorului și e-mailurile curg din nou normal. De aceea e pasul de mijloc.
Reject greșește zgomotos. Sistemul expeditor primește o respingere SMTP și (pentru orice expeditor bine-crescut) o notificare de bounce — astfel un newsletter configurat greșit se anunță singur într-o oră, în loc să se degradeze în tăcere săptămâni întregi. Zgomotul e neplăcut, dar zgomotul se detectează repede și se inversează repede.

Verifică-ți și expunerea subdomeniilor înainte de a aplica: eticheta sp= setează o politică separată pentru subdomenii, iar un sp= nedeclarat moștenește p=-ul tău. Domeniile care nu trimit deloc e-mail — branduri parcate, domenii doar-de-redirecționare — sar peste toată rampa: publică p=reject azi, fiindcă nu există e-mailuri legitime de protejat. Sintaxa completă a înregistrării e acoperită în ghidul de reparare DMARC.

Monitorizarea de care ai nevoie înainte (și după) mutare

Fiecare mutare sigură de politică din acest ghid depinde de un singur lucru: poți vedea ce s-ar strica. Adică rapoarte agregate (rua=) — rezumatele zilnice pe care ți le trimit destinatarii, listând fiecare sursă care a trimis e-mail ca domeniul tău și dacă a trecut. Pe întregul recensământ, doar 10.16% dintre domenii le colectează; o înregistrare DMARC fără adresă de raportare înseamnă aplicare în orb.

Înainte de fiecare pas de politică, rapoartele tale ar trebui să arate, timp de cel puțin două săptămâni curate: fiecare expeditor cunoscut trece și e aliniat, nicio sursă cu aspect legitim neexplicată, iar fluxurile de redirecționare sunt lămurite. Partea grea nu e cititul rapoartelor — e munca de detectiv de a atribui fiecare sursă unui sistem real, adică zidul din modelul de maturitate DMARC unde mor majoritatea implementărilor blocate. Iar monitorizarea nu se termină la p=reject: se conectează unelte SaaS noi, furnizorii își schimbă IP-urile, configurările putrezesc. Rapoartele sunt felul în care afli înaintea clienților tăi — o disciplină pe care marii destinatari o cer deja, practic, expeditorilor în masă.

Întrebări frecvente

E p=reject mai bun decât p=quarantine? Pentru oprirea impersonării, da — reject e singura politică sub care e-mailurile falsificate sunt refuzate, nu livrate undeva. Quarantine e alegerea corectă cât timp îți construiești încrederea, și o alegere permanentă apărabilă când un e-mail real pierdut te costă mai mult decât un fals într-un dosar de spam.

Pot trece direct de la p=none la p=reject? Doar dacă domeniul tău nu trimite deloc e-mail — atunci fă-o azi. Pentru un domeniu care trimite, treci prin quarantine (ideal cu o rampă pct), astfel încât orice ai ratat să ajungă recuperabil în dosarul greșit, nu respins.

Ce face de fapt pct=? pct=25 le cere destinatarilor să aplice politica ta pe aproximativ 25% dintre mesajele care pică, permițându-ți să introduci aplicarea treptat. Nu toți destinatarii respectă eșantionarea, iar revizia DMARC din 2026 o înlocuiește cu un steag de test t=y — trateaz-o ca limitator de pagube, nu ca garanție.

Cât ar trebui să rămân la p=quarantine? Până când rapoartele agregate arată că fiecare expeditor legitim trece și e aliniat de-a lungul câtorva săptămâni curate — de regulă două până la șase săptămâni în practică. Dacă rapoartele rămân curate și niciun motiv structural (redirecționări, migrare, recuperabilitate) nu se aplică, treci la reject.

Dacă reject merge prost, e-mailurile se pierd pentru totdeauna? Mesajele refuzate nu ajung, dar sistemele expeditoare bine-crescute primesc un bounce, deci expeditorii legitimi află imediat — iar revenirea ta e o singură modificare DNS care intră în vigoare în limita TTL-ului. Ține TTL-ul scurt pe durata tranziției.

Vezi ce politică publică domeniul tău azi

Golul dintre „avem DMARC” și „aplicăm DMARC” e locul unde trăiește impersonarea. Verifică-ți domeniul gratuit și privat — vezi politica ta reală, dacă rapoartele curg, și singura mutare către etapa următoare.

Verifică-ți domeniul → · Repară DMARC → · Ce e DMARC? → · Pilonul DMARC → · Doar date agregate. Datele sunt stocate și procesate în UE.