p=quarantine ou p=reject : lequel choisir pour DMARC ?
p=quarantine d'abord, p=reject ensuite — et seulement si tes rapports sont propres. quarantine demande aux boîtes de réception de mettre en indésirable les emails qui échouent à DMARC ; reject demande de les refuser. La différence n'est pas le niveau de protection, c'est ce qui arrive à tes propres emails le jour où un outil légitime est mal configuré : en quarantine, ils atterrissent en spam et quelqu'un te le dit ; en reject, ils n'existent plus et personne ne te le dit. On passe donc toujours par quarantine, on y reste 2 à 4 semaines, et on ne monte à reject que quand plus rien de légitime n'échoue.
Personne ne t'oblige à aller jusqu'à reject : Gmail, Yahoo et Outlook.com demandent un DMARC publié et acceptent explicitement p=none. Tu vises reject pour protéger ton nom, pas pour cocher une case.
Ce que fait chaque valeur
| Politique | Ce que fait la boîte de réception quand DMARC échoue | Ce que tu risques |
|---|---|---|
p=none |
Rien. Elle livre l'email et t'envoie un rapport | Aucun — c'est le mode observation |
p=quarantine |
Elle met l'email en indésirable | Un email légitime oublié part en spam : visible, récupérable |
p=reject |
Elle refuse l'email | Un email légitime oublié disparaît : invisible, irréversible |
Le point que les tutoriels oublient : une politique DMARC ne s'applique qu'aux emails qui échouent. Si tout ce qui envoie en ton nom est correctement authentifié et aligné, reject et quarantine ne touchent que les usurpateurs. La question n'est donc pas « lequel protège le mieux » — c'est « suis-je sûr d'avoir tout listé ? ». Tant que la réponse n'est pas oui, la seule valeur raisonnable est celle qui rend l'erreur visible.
Le chemin recommandé, en trois paliers
| Palier | Valeur | Durée | Tu passes au suivant quand |
|---|---|---|---|
| 1 — observer | v=DMARC1; p=none; rua=mailto:TON-ADRESSE@TON-DOMAINE.fr |
2 à 4 semaines | tous tes expéditeurs légitimes apparaissent dans les rapports avec SPF ou DKIM aligné |
| 2 — mettre de côté | v=DMARC1; p=quarantine; np=reject; rua=mailto:TON-ADRESSE@TON-DOMAINE.fr |
2 à 4 semaines | les rapports sont propres et personne ne s'est plaint d'un email en indésirable |
| 3 — refuser | v=DMARC1; p=reject; np=reject; rua=mailto:TON-ADRESSE@TON-DOMAINE.fr |
— | tu y es |
np=reject refuse les emails venant de sous-domaines qui n'existent pas — une porte d'usurpation classique. Il ne peut rien casser (aucun email légitime ne vient d'un sous-domaine inexistant), donc on le pose dès le palier 2.
Ce qu'il ne faut plus utiliser : pct=. Pendant dix ans, la façon standard de durcir en douceur était p=quarantine; pct=5, puis 25, puis 100. Ce tag a été retiré de la norme DMARC par la RFC 9989 (mai 2026) : les serveurs à jour l'ignorent et appliquent ta politique à 100 % des messages. Tu crois durcir à 5 %, tu durcis en entier chez une partie de tes destinataires. On monte avec la politique elle-même — none, quarantine, reject — jamais avec un pourcentage.
Quand quarantine est un point d'arrivée honnête
Deux situations où reject coûte plus qu'il ne rapporte :
- Tes emails transitent par des listes de diffusion ou sont beaucoup transférés. Une liste mal configurée réécrit le message et casse DKIM ; un transfert casse SPF. En
reject, ces emails-là disparaissent, et tu ne peux rien y faire de ton côté. Si ton activité repose dessus,quarantineest un choix défendable — et assumé. - Tu ne lis pas tes rapports.
rejectsans lecture des rapports, c'est un rejet aveugle : le jour où ton logiciel de facturation change de serveur d'envoi, tes factures s'évaporent en silence. Si tu ne veux pas lire de rapports, reste enquarantine— ou fais-les lire par quelqu'un.
Dans tous les autres cas, reject est la seule valeur qui empêche vraiment quelqu'un d'écrire à ta place. C'est là qu'on va, sans se presser.
Questions fréquentes
p=quarantine est-il suffisant pour être protégé ?
En grande partie : un email usurpé arrive en indésirable au lieu d'arriver en boîte de réception, ce qui neutralise l'essentiel des arnaques au faux RIB. reject va plus loin en le refusant tout court. Passer par quarantine n'est pas une demi-mesure, c'est le seul palier où une erreur de configuration est récupérable.
Combien de temps rester en p=quarantine avant p=reject ?
Deux à quatre semaines, avec les rapports DMARC lus chaque semaine. Tu passes à reject quand tous tes expéditeurs légitimes apparaissent authentifiés et alignés et que personne ne t'a signalé d'email en indésirable. Si un outil échoue encore, corrige-le d'abord — la date ne compte pas, la propreté des rapports si.
Peut-on revenir de p=reject à p=quarantine ?
Oui, à tout moment : c'est une simple modification de l'enregistrement TXT _dmarc, prise en compte en quelques minutes à quelques heures selon le TTL. Si des emails légitimes disparaissent après le passage en reject, redescends en quarantine, corrige l'expéditeur fautif dans les rapports, puis remonte.