2026-07-24 · RECHERCHE · L'équipe Offensive Technology

Le p=none est-il suffisant ? Pourquoi publier DMARC ne revient pas à l'appliquer

Le DMARC p=none est-il suffisant ? Non. Le p=none n'arrête pas l'usurpation. Il ne fait que surveiller. Si votre domaine est en p=none, les destinataires vous envoient des rapports mais distribuent toujours les e-mails falsifiés portant votre nom, de sorte que votre domaine peut toujours être usurpé. Nous avons résolu 300 grands domaines via le DNS public et lu leurs enregistrements d'authentification e-mail pour voir à quel point cette erreur est courante. La publication semble saine : 84.7% publient un enregistrement DMARC. C'est au niveau de l'application que cela s'effondre. Seuls 67.3% appliquent réellement DMARC avec une politique de quarantine ou de reject. Parmi les 261 domaines qui reçoivent du courrier, environ 30% n'appliquent rien, car ils sont en p=none, ne publient aucune balise de politique utilisable, ou ne publient pas de DMARC du tout. Si vous avez hérité d'un enregistrement DMARC et supposé qu'il vous protégeait, c'est dans cet écart que vous vous trouvez.

Publier DMARC ne revient pas à l'appliquer

L'authentification e-mail repose sur trois enregistrements que l'on a tendance à traiter comme une seule case à cocher. SPF (RFC 7208) liste les serveurs autorisés à envoyer pour un domaine. DKIM (RFC 6376) signe un message afin qu'un destinataire puisse vérifier qu'il n'a pas été altéré. DMARC (RFC 7489) lie ces vérifications à l'adresse De (From) visible et indique aux destinataires quoi faire en cas d'échec.

C'est sur cette dernière clause que la publication et l'application de DMARC se séparent. Un enregistrement peut exister tout en ordonnant aux destinataires de ne rien faire. La politique réside dans la balise p=, et elle comporte trois paramètres. Voici toute la différence entre p=none et reject :

• p=reject indique aux destinataires de refuser le courrier qui échoue. C'est ce qui empêche réellement l'usurpation de votre domaine.
• p=quarantine indique aux destinataires de traiter le courrier en échec comme suspect, en le redirigeant généralement vers les spams. C'est une application, bien que plus faible que reject.
• p=none indique aux destinataires d'envoyer des rapports et de distribuer normalement le courrier en échec. Les e-mails falsifiés arrivent toujours. C'est de la surveillance, pas de la défense.

La vraie question n'est donc pas « ce domaine a-t-il DMARC », mais « son DMARC est-il appliqué ». Que signifie l'application de DMARC en pratique ? Cela signifie qu'on demande au destinataire d'agir en cas d'échec plutôt que de simplement le consigner. Dans notre échantillon, les deux chiffres divergent de près de dix-huit points : 84.7% publient un enregistrement, 67.3% en appliquent un. Cet écart de dix-huit points représente les domaines qui ont fait le travail visible, modifié leur DNS, mis en place un enregistrement, et se sont arrêtés à une étape de la partie qui bloque quoi que ce soit.

Les données : publié versus appliqué

Voici l'échantillon complet. Les contrôles de publication sont élevés, l'application et les couches de transport sont faibles.

Passons à la distribution des politiques. Voici le tableau qui répond directement à la question : parmi les domaines qui reçoivent du courrier, combien sont en p=none ou pire.

Lisez les trois dernières lignes ensemble. Cela représente 29.9% des domaines recevant du courrier où le courrier falsifié portant leur nom n'est pas bloqué par DMARC. Ce sont des domaines qui reçoivent activement du courrier, il ne s'agit donc pas d'une subtilité technique concernant des zones parquées ou n'envoyant pas de e-mails. C'est la même porte d'entrée d'usurpation d'identité que nous avons décrite dans notre guide sur ce que les attaquants peuvent voir sur votre entreprise, toujours ouverte sur près d'un tiers des domaines e-mail actifs parmi les plus populaires du Web. Si vous avez un enregistrement DMARC mais que vous subissez toujours des usurpations, vous vous trouvez très certainement dans la ligne p=none.

L'écart d'application

Nous appelons l'espace entre 84.7% de publiés et 67.3% d'appliqués l'écart d'application DMARC, et c'est tout l'intérêt de cette mesure. Publier un enregistrement est peu coûteux et visible, cela se fait donc facilement. Transformer cet enregistrement en un dispositif qui bloque le courrier exige qu'une organisation connaisse suffisamment bien ses propres expéditeurs pour rejeter le reste sans perturber les e-mails professionnels légitimes. C'est à cette seconde étape que les domaines bloquent, et ce blocage est mesurable.

Examinez la situation du point de vue de l'attaquant, car c'est lui qui détermine si un contrôle a de l'importance. Vous souhaitez envoyer un e-mail semblant provenir du propre domaine d'une cible, destiné à son équipe financière ou à l'un de ses clients, en demandant de déplacer un paiement ou de réinitialiser un identifiant. Vous vérifiez d'abord le DNS de la cible, comme nous l'avons fait. Si le domaine publie p=reject, votre e-mail falsifié est refusé du côté destinataire et n'atteint jamais la boîte de réception. Ce plan tombe à l'eau. Si le domaine publie p=none, rien ne change pour vous. Le destinataire note l'échec dans un rapport envoyé au propriétaire du domaine, et non à votre victime, et distribue quand même votre message. Mon domaine peut-il donc être usurpé en p=none ? Oui, tout aussi facilement que sans aucun DMARC.

Ce qui rend nos chiffres dignes d'intérêt, c'est la façon dont nous les avons obtenus. Il s'agit d'une mesure passive indépendante, et non de télémétrie fournisseur. Nous ne signalons pas les e-mails filtrés par notre propre produit, et nous n'extrapolons pas à partir du flux entrant d'un seul fournisseur. Nous lisons la politique publique que chaque destinataire sur Internet lit, l'enregistrement lui-même, pour un échantillon fixe à une date fixe. C'est un point de vue différent et plus neutre que celui d'un fournisseur de sécurité qui fait des rapports sur le trafic qu'il lui arrive d'observer.

Comment vérifier votre propre domaine

Vous n'avez besoin d'aucun outil ni d'aucune inscription pour cela. Lisez votre propre DNS public et observez une seule balise. N'importe qui peut effectuer ces requêtes sur n'importe quel domaine, car une requête DNS est une lecture passive d'enregistrements déjà publics.

• Vérifiez la politique DMARC. Exécutez dig TXT _dmarc.yourdomain.com +short et lisez la balise p=. p=reject ou p=quarantine signifie que votre politique est appliquée. p=none, ou aucune balise p=, ou aucun enregistrement du tout, signifie que vous n'appliquez rien et que votre domaine peut être usurpé.
• Vérifiez SPF. Exécutez dig TXT yourdomain.com +short et recherchez un enregistrement commençant par v=spf1. Un SPF manquant affaiblit l'alignement dont dépend DMARC.
• Vérifiez les couches de transport et d'intégrité. Exécutez dig DS yourdomain.com +short pour DNSSEC et dig TXT _mta-sts.yourdomain.com +short pour une annonce MTA-STS. Les deux sont généralement absents, comme le montrent les données ci-dessus.

Si la requête DMARC renvoie p=none, vous avez votre réponse : l'enregistrement est publié, mais non appliqué, et vous êtes uniquement en mode surveillance.

Passer de p=none à l'application

Le chemin de none à reject est bien connu, et à vrai dire, la modification DNS est la partie la plus simple. Le vrai travail consiste à s'assurer que vous ne bloquerez pas le courrier légitime lorsque les destinataires commenceront à agir en cas d'échec. Voici comment faire passer DMARC de none à reject sans couper vos propres expéditeurs :

• Ne restez en p=none que le temps d'établir un inventaire. Pointez la balise rua= vers une boîte aux lettres ou un analyseur de rapports et lisez les rapports agrégés jusqu'à ce que vous puissiez identifier chaque source envoyant des e-mails en tant que votre domaine, y compris les plateformes marketing, les systèmes de tickets et les tiers.
• Passez à p=quarantine, en augmentant progressivement avec pct si vous souhaitez être prudent. A pct= applique la politique à une fraction du courrier en échec afin que vous puissiez repérer les expéditeurs légitimes ne respectant pas l'alignement avant qu'elle s'applique à tout le monde. Corrigez tout expéditeur légitime qui échoue à l'alignement SPF ou DKIM avant d'élargir le pourcentage.
• Passez à p=reject une fois que les rapports sont propres. Lorsqu'aucune source légitime n'échoue, reject est le paramètre qui bloque purement et simplement l'usurpation. C'est le seul état où la question « p=none est-il suffisant » devient caduque, car vous avez laissé p=none derrière vous.

Pendant que vous êtes dans le DNS, annoncez MTA-STS afin que le courrier entrant ne puisse pas être discrètement dégradé en texte clair, et signez votre zone avec DNSSEC pour que les requêtes récupérant votre politique ne puissent pas être usurpées. L'adoption de MTA-STS n'est que de 4.7% dans notre échantillon, l'implémenter vous place donc en avance sur presque tout le monde. DNSSEC conditionne également des mécanismes plus stricts comme DANE, et sa rareté à 20.0% limite le niveau de sécurité e-mail pour quatre domaines sur cinq. Le discernement nécessaire pour appliquer sans casser est le même que celui qui permet de savoir lesquels de vos contrôles de délivrance de certificats et de vos surfaces exposées comptent réellement et lesquels sont du bruit.

Ce que cela ne prouve pas

Limites honnêtes, car un chiffre sans ses avertissements n'est que du marketing.

• Majestic classe par backlinks, non par trafic. Le Majestic Million classe les sites par sous-réseaux référents et liens, ce qui favorise les domaines établis depuis longtemps et très cités. C'est une population différente d'une liste classée par trafic, lisez donc ceci comme un échantillon honnête, et non comme l'Internet tout entier.
• C'est un échantillon de 300 domaines. Chaque pourcentage comporte une erreur d'échantillonnage. Un chiffre comme 67.3% d'application signifie 202 domaines sur 300, et un échantillon différent de 300 décalerait ce chiffre de quelques points.
• C'est un instantané. Le DNS change quotidiennement. Ces chiffres décrivent le 24 juillet 2026, pas une tendance. Un domaine en p=none aujourd'hui peut être en cours de déploiement et l'appliquer le mois prochain.
• C'est une vue basée uniquement sur le DNS. Un p=reject publié n'est pas la preuve que le SPF et le DKIM d'un domaine sont correctement alignés pour ses expéditeurs réels. Nous lisons la politique sur laquelle agissent les destinataires, pas le courrier distribué. C'est une déclaration d'intention publiée, pas la garantie d'un déploiement sans faille.
• L'évaluation de l'application est globale. Nous comptons p=quarantine et p=reject comme appliqués. Sur le terrain, une politique quarantine avec un faible pct ou un mode d'alignement permissif laisse toujours passer certains e-mails falsifiés, le chiffre de l'application est donc, au mieux, généreux.

Foire aux questions

Le p=none est-il suffisant pour arrêter l'usurpation d'e-mail ?

Non. p=none est uniquement de la surveillance. Les destinataires signalent les échecs mais distribuent le courrier falsifié normalement, de sorte que les e-mails portant votre domaine atteignent toujours les boîtes de réception. C'est une première étape acceptable pendant que vous inventoriez les expéditeurs, mais cela ne bloque rien tant que la politique ne passe pas à quarantine ou reject.

Mon domaine peut-il toujours être usurpé si j'ai un enregistrement DMARC ?

Oui, si cet enregistrement est en p=none. Avoir un enregistrement ne signifie pas être protégé. Seul p=quarantine ou p=reject indique aux destinataires d'agir sur le courrier qui échoue à l'authentification.

Quelle est la différence entre publier et appliquer DMARC ?

Publier signifie qu'un enregistrement _dmarc existe. Appliquer signifie que sa politique est fixée sur p=quarantine ou p=reject. Un enregistrement en p=none ne bloque rien. Dans notre échantillon de juillet 2026, 84.7% publiaient un enregistrement mais seuls 67.3% en appliquaient un.

Quel pourcentage de domaines appliquent réellement DMARC ?

Dans notre échantillon de 300 domaines, 84.7% publiaient DMARC et 67.3% l'appliquaient. Parmi les 261 domaines recevant du courrier, environ 30% n'appliquent rien.

Le p=none est-il identique à l'absence de DMARC ?

Pour arrêter l'usurpation, pratiquement oui. Pour un attaquant, le résultat est identique : le courrier falsifié est distribué. La différence est que p=none produit des rapports que vous pouvez utiliser pour parvenir à l'application.

Comment faire passer DMARC de none à reject ?

Lisez vos rapports agrégés en p=none jusqu'à ce que chaque expéditeur légitime soit comptabilisé, passez à p=quarantine (optionnellement en augmentant avec une balise pct), corrigez tout expéditeur réel échouant à l'alignement, puis définissez p=reject.

Pourquoi subis-je toujours des usurpations alors que DMARC est configuré ?

Presque toujours parce que la politique est en p=none, ou parce que SPF et DKIM ne sont pas alignés pour vos expéditeurs, de sorte qu'une politique restrictive ne peut pas être validée. Vérifiez la balise p= de votre enregistrement _dmarc en premier.

Lectures associées

• À quel point les domaines les plus actifs du monde sont-ils exposés à l'usurpation d'e-mail ? La question de présence sur laquelle s'appuie cet article.
• Combien de grands domaines restreignent les entités autorisées à émettre leurs certificats ? La même méthode DNS passive, appliquée aux enregistrements CAA.
• Que peuvent réellement voir les attaquants sur votre entreprise ?