p=reject
La politique DMARC la plus stricte : le propriétaire du domaine considère tout échec comme le signe clair d'un usage non valide de son domaine, et demande aux destinataires de refuser le message.
Ce que cela signifie
Les destinataires qui respectent p=reject refusent normalement les e-mails en échec pendant la session SMTP, si bien qu'ils n'atteignent jamais le destinataire. Gmail, par exemple, renvoie 550 5.7.26 en citant la politique DMARC de l'expéditeur. C'est la protection la plus forte contre l'usurpation directe du domaine.
Elle met aussi au jour chaque faille de la configuration du domaine : un service d'envoi non aligné, ou un e-mail relayé par un serveur de transfert ou une liste de diffusion qui casse le DKIM, part en bounce. La RFC 9989 précise donc qu'un domaine en p=reject doit signer ses e-mails en DKIM plutôt que de compter sur le seul SPF, et que les domaines dont les utilisateurs écrivent sur des listes de diffusion ne devraient pas publier p=reject.
La RFC suggère au moins un mois en p=none et autant en p=quarantine, en comparant les résultats dans les rapports agrégés, avant de passer à reject. Un domaine qui n'envoie aucun e-mail peut passer directement en p=reject.
Exemple
v=DMARC1; p=reject; rua=mailto:dmarc@example.comTermes associés
Sur ce site
Sources
Ce sur quoi repose cette définition. La formulation est la nôtre ; les faits sont les leurs.
- RFC 9989: Domain-based Message Authentication, Reporting, and Conformance (DMARC), section 4.7rfc-editor.org
- RFC 9989: Domain-based Message Authentication, Reporting, and Conformance (DMARC), section 7.4rfc-editor.org
- RFC 9989: Domain-based Message Authentication, Reporting, and Conformance (DMARC), section 7.2rfc-editor.org
Les 432 termes du glossaireLe wiki : blacklists et codes de bounce