Si vous avez reçu un mail vous prévenant que « n'importe qui peut écrire en votre nom », il signale presque toujours un DMARC en p=none. Le constat est exact : en mode p=none, DMARC observe les emails usurpés sans demander de les bloquer. Mais c'est le cas de la majorité des domaines, et les grandes messageries filtrent déjà une bonne partie des usurpations. Ce n'est pas une urgence. C'est un chantier à mener dans l'ordre : inventorier vos envois, corriger SPF et DKIM, lire les rapports, puis seulement durcir la politique.
Le mail que vous avez reçu
Le scénario est fréquent. Un dirigeant reçoit, à l'adresse de contact de son site, un mail d'un inconnu : « En mesurant votre domaine, j'ai relevé ceci : p=none n'applique aucune politique, les usurpations passent quand même. » Le message est souvent écrit par un outil qui scanne des domaines la nuit, puis écrit à l'adresse publiée sur le site.
Quelques jours plus tard, il ouvre son compte Brevo et voit une recommandation dans le même sens : passer la politique DMARC en quarantine. Il se demande alors s'il a un réglage urgent à faire.
Ce qui est vrai, ce qui est exagéré
| Affirmation | Verdict |
|---|
| « p=none n'applique aucune politique » | Vrai. p=none demande aux destinataires de vous envoyer des rapports, pas de bloquer quoi que ce soit. |
| « Les usurpations passent quand même » | En partie. DMARC ne les bloque pas, mais Gmail, Outlook et les autres appliquent aussi leurs propres filtres anti-usurpation. |
| « N'importe qui peut écrire en votre nom » | Exagéré. C'est vrai sur le papier, comme pour la plupart des domaines, mais rien n'indique que quelqu'un le fait. |
| « Il faut passer en quarantine » | Vrai à terme, dangereux tout de suite si vos propres envois ne sont pas en ordre. |
Ce dernier point est le plus important. Durcir DMARC trop tôt ne bloque pas seulement les fraudeurs : il envoie aussi en spam vos propres emails mal authentifiés.
Le vrai risque : bloquer vos propres emails
Avec p=quarantine, tout email qui échoue à DMARC part en spam. Avec p=reject, il est refusé. Un email passe DMARC si SPF ou DKIM est valide et aligné sur votre domaine.
Or beaucoup de domaines ont des envois légitimes qui échouent sans que personne ne le sache :
- des boîtes mail chez OVH sans DKIM activé, et non couvertes par le SPF ;
- un outil d'emailing ajouté sans mettre à jour le SPF ;
- le formulaire de contact du site, qui envoie depuis le serveur web ;
- un SPF en double, donc invalide (voir Deux enregistrements SPF : la panne que personne ne voit).
En p=none, ces emails arrivent encore. En p=quarantine, ils partent en spam du jour au lendemain. D'où la méthode qui suit.
La méthode en quatre étapes
1. Inventorier tout ce qui envoie avec votre domaine
Faites la liste de tous les services qui envoient des emails avec une adresse de votre domaine :
- la messagerie (OVH, Google Workspace, Microsoft 365) ;
- les outils d'emailing et transactionnels (Brevo, Mailjet…) ;
- le site web (formulaires, emails de commande d'une boutique) ;
- le CRM, l'outil de facturation, le support client.
2. Corriger SPF et activer DKIM partout
Le SPF doit être unique et lister tous ces services. Par exemple, pour Brevo, Mailjet et des boîtes OVH :
v=spf1 include:spf.sendinblue.com include:spf.mailjet.com include:mx.ovh.com ~all
Activez ensuite DKIM sur chaque service. Les outils d'emailing le proposent dans leurs réglages de domaine. Pour les boîtes OVH (offre MX Plan), le réglage se trouve dans l'espace client : Web Cloud, E-mails, votre domaine, Informations générales, DKIM. OVH fournit deux enregistrements CNAME. Si votre zone DNS est gérée ailleurs, chez Cloudflare par exemple, publiez-les vous-même, en mode « DNS only » (nuage gris), sinon la vérification échoue.
Le générateur SPF vous aide à assembler l'enregistrement, et la vérification de sécurité email contrôle SPF, DKIM et DMARC en une fois.
3. Lire les rapports pendant une à deux semaines
Votre enregistrement DMARC contient normalement une balise rua, qui désigne l'adresse où les messageries envoient leurs rapports :
v=DMARC1; p=none; rua=mailto:rua@dmarc.brevo.com
Ces rapports sont des fichiers XML. Lisez-les avec un service qui les met en forme (Brevo, Cloudflare DMARC Management et d'autres le font gratuitement). Vérifiez une seule chose : toutes les sources légitimes passent-elles DMARC ? Si une source connue échoue, corrigez son SPF ou son DKIM avant d'aller plus loin. Si une source inconnue apparaît, c'est soit un service oublié, soit une usurpation.
4. Durcir progressivement
Quand les rapports sont propres, passez en quarantine, éventuellement sur une partie du trafic seulement :
v=DMARC1; p=quarantine; pct=25; rua=mailto:rua@dmarc.brevo.com
Montez ensuite pct à 100, puis passez en p=reject après quelques semaines sans incident :
v=DMARC1; p=reject; rua=mailto:rua@dmarc.brevo.com
| Étape | Politique | Durée indicative |
|---|
| Observation | p=none | 1 à 2 semaines de rapports propres |
| Quarantaine partielle | p=quarantine; pct=25 | 1 semaine |
| Quarantaine complète | p=quarantine | 2 à 4 semaines |
| Rejet | p=reject | Définitif |
Compter deux à trois semaines par domaine est raisonnable. Les exigences de Gmail et Yahoo pour les expéditeurs en volume se contentent de p=none : voir ce que Google, Yahoo et Microsoft exigent vraiment.
Ce qu'il faut regarder dans un rapport DMARC
Un rapport agrégé DMARC liste, pour une journée et un destinataire (Google, Microsoft, Yahoo…), les adresses IP qui ont envoyé des emails avec votre domaine, le nombre de messages, et le résultat des contrôles. Un service de lecture les regroupe par source. Trois cas se présentent :
| Ce que vous voyez | Ce que ça veut dire | Action |
|---|
| Source connue, DMARC conforme | Envoi légitime, bien authentifié | Rien |
| Source connue, DMARC en échec | Envoi légitime mal configuré | Corriger son SPF ou activer son DKIM avant de durcir |
| Source inconnue, DMARC en échec | Service oublié, transfert, ou usurpation | Identifier la source ; si c'est une usurpation, durcir la protégera |
Ne vous inquiétez pas de quelques messages isolés en échec venant d'IP inconnues : c'est souvent du transfert automatique ou du spam qui utilise votre domaine au hasard. Ce qui compte, c'est qu'aucune source légitime n'apparaisse dans la colonne des échecs.
Faut-il répondre au mail reçu ?
Rien ne vous y oblige. Si le message propose de ne plus être contacté, utilisez ce lien ou répondez « stop ». Gardez simplement le constat : il est juste sur le fond, et il vous donne l'occasion de mettre vos emails en ordre.
Pour savoir où vous en êtes en deux minutes, lancez un audit gratuit de votre domaine : il vérifie SPF, DKIM et DMARC, et signale les doublons.
Questions fréquentes
p=none, est-ce dangereux ?
Ce n'est pas dangereux pour vos envois. Cela ne protège simplement pas votre domaine contre l'usurpation. C'est l'étape normale de départ, à condition de ne pas y rester indéfiniment.
Puis-je passer directement en p=reject ?
Seulement si vous êtes certain que tous vos envois légitimes passent SPF ou DKIM. Sans lecture préalable des rapports, c'est le moyen le plus sûr de bloquer vos propres factures ou confirmations de commande.
J'ai plusieurs domaines, faut-il tout faire en même temps ?
Non. Traitez les domaines un par un, en commençant par ceux qui envoient le plus d'emails. Un domaine qui n'envoie jamais d'email peut, lui, passer directement en p=reject avec un SPF v=spf1 -all.
La recommandation de Brevo est-elle fiable ?
Oui sur le fond : Brevo signe ses envois avec DKIM, donc ses propres emails passeront DMARC. Mais Brevo ne voit que les emails qui passent par lui. Vérifiez vos autres sources d'envoi avant de durcir.