27,9 % des principaux domaines restent vulnérables à l’usurpation d’e-mails fin 2026

Une analyse récente des 1 000 premiers domaines du Majestic Million montre que 27,9 % restent vulnérables à l’usurpation d’e-mails au 19 octobre 2026. L’étude souligne que si les grandes plateformes ont amélioré leur adoption, de nombreuses organisations s’appuient encore sur des enregistrements DNS permissifs qui n’arrivent pas à bloquer les e-mails falsifiés.

Ce qui s’est passé

L’enquête a examiné les enregistrements DMARC (Domain-based Message Authentication, Reporting, and Conformance) de 974 domaines enregistrables issus de la liste Majestic Million. Ce classement mesure la présence mondiale sur le web par le nombre de liens entrants. L’objectif était de déterminer combien de ces domaines de premier plan empêchent efficacement les attaquants d’envoyer des e-mails semblant provenir d’eux. Les résultats indiquent que 272 domaines soit ne publient aucun enregistrement DMARC, soit utilisent une politique non contraignante, soit présentent des configurations invalides.

Alors que 72,1 % des domaines audités appliquent désormais DMARC, une part significative reste exposée. Au sein du groupe appliquant DMARC, 53,1 % utilisent la politique la plus stricte « reject », qui demande aux serveurs récepteurs de jeter entièrement les messages non authentifiés. Une autre tranche de 19,0 % utilise « quarantine », qui route généralement le courrier suspect vers les dossiers de spam. Cependant, 16,9 % utilisent encore « none », un mode de surveillance uniquement qui laisse passer tout le courrier indépendamment du statut d’authentification, et 11,0 % n’ont aucun enregistrement du tout.

Les données révèlent également une disparité basée sur l’infrastructure d’e-mail. Les domaines utilisant des fournisseurs hébergés majeurs comme Google Workspace ou Microsoft 365 affichent des taux d’usurpabilité plus faibles, allant de 18,1 % à 20,5 %. En revanche, les domaines utilisant d’autres solutions ou des services de messagerie auto-hébergés sont usurpables dans 40,7 % des cas. Même les domaines sans enregistrements MX (Mail Exchange), qui ne devraient théoriquement pas recevoir d’e-mails, montrent un taux d’usurpabilité de 38,2 % car ils manquent souvent d’entrées DNS protectrices.

Détails clés

• Définition de l’usurpabilité : Un domaine est considéré comme usurpable si sa politique DMARC effective est absente, définie sur p=none ou invalide.
• Écart entre fournisseurs : Les fournisseurs d’e-mail auto-hébergés ou de niche présentent un taux d’usurpabilité deux fois supérieur (40,7 %) comparé aux grandes plateformes comme Google (18,1 %).
• Conformité vs sécurité : Les grands fournisseurs comme Gmail et Yahoo n’exigent que p=none pour les expéditeurs en masse, ce qui signifie que la conformité n’équivaut pas à une protection complète.
• Problèmes SPF : 15,5 % des domaines n’ont aucun enregistrement SPF, et 1,0 % dépassent la limite de 10 recherches DNS, provoquant des erreurs de validation.
• Sécurité du transport : Seuls 1,5 % des domaines appliquent MTA-STS, un protocole garantissant la livraison chiffrée des e-mails.
• Domaines sans messagerie : Les domaines qui ne reçoivent pas d’e-mails devraient publier v=spf1 -all et p=reject pour prévenir l’usurpation, mais beaucoup ne le font pas.

Contexte

DMARC fonctionne conjointement avec SPF (Sender Policy Framework) et DKIM (DomainKeys Identified Mail) pour vérifier l’authenticité des e-mails. SPF liste les adresses IP autorisées pour envoyer du courrier, tandis que DKIM ajoute une signature numérique aux messages. DMARC relie ces éléments en indiquant aux serveurs récepteurs quoi faire si un e-mail échoue à ces vérifications. Une politique p=none demande aux destinataires de livrer le message quand même, mais d’envoyer un rapport au propriétaire du domaine. Ceci est utile pour la configuration initiale mais n’offre aucune protection contre le phishing.

Le passage à une application plus stricte a été motivé par les nouvelles exigences des grands fournisseurs de boîtes aux lettres. Depuis début 2024, Gmail et Yahoo ont imposé aux expéditeurs en masse de publier des enregistrements DMARC, acceptant initialement p=none. Microsoft a suivi en mai 2025 avec des règles similaires pour les utilisateurs d’Outlook.com. Ces réglementations ont réussi à augmenter le nombre de domaines publiant des enregistrements DMARC, mais elles n’ont pas universellement poussé les organisations à adopter la politique plus stricte p=reject nécessaire pour arrêter l’usurpation.

Pourquoi c’est important

Pour les équipes gérant leurs propres logiciels et infrastructures, ces données soulignent le risque de se fier uniquement aux configurations par défaut ou à une conformité minimale. Si votre organisation utilise un serveur d’e-mail auto-hébergé ou un fournisseur de niche, vous êtes statistiquement plus susceptible d’être mal configuré que vos pairs sur les grandes plateformes. Les attaquants ciblent les domaines bien connus car les utilisateurs leur font confiance. Une politique p=none invite essentiellement les phishers à usurper votre marque, car les serveurs récepteurs ne bloqueront pas leurs messages falsifiés.

De plus, la faible adoption des normes de sécurité du transport comme MTA-STS indique que de nombreuses organisations ne protègent pas les e-mails en transit contre les attaques par dégradation. Alors que DMARC prévient l’usurpation, MTA-STS garantit que la connexion entre les serveurs de messagerie est chiffrée et ne peut être interceptée. Ignorer ces couches laisse à la fois votre réputation et vos communications vulnérables.

La distinction entre conformité et sécurité est critique. Répondre aux exigences minimales de Gmail ou Yahoo maintient vos e-mails marketing hors du dossier de spam, mais ne sécurise pas votre domaine contre les abus. Les responsables IT doivent reconnaître que réussir une vérification d’expéditeur en masse n’est que la première étape d’une stratégie de sécurité plus large.

Ce que vous pouvez faire

• Auditer votre politique DMARC : Vérifiez si votre domaine utilise p=none et planifiez une migration vers p=quarantine puis éventuellement p=reject.
• Sécuriser les domaines sans messagerie : Pour tout domaine qui ne reçoit pas d’e-mails, publiez v=spf1 -all et p=reject pour bloquer tout courrier sortant.
• Revoir les enregistrements SPF : Assurez-vous que votre enregistrement SPF n’inclut que les services nécessaires et reste sous la limite de 10 recherches DNS pour éviter les erreurs permanentes.
• Activer le reporting : Utilisez les balises rua dans votre enregistrement DMARC pour recevoir des rapports agrégés, ce qui vous aide à identifier les expéditeurs légitimes avant d’appliquer des politiques strictes.
• Implémenter MTA-STS : Déployez MTA-STS et TLS-RPT pour forcer les connexions chiffrées et recevoir des rapports sur les négociations TLS échouées.
• Surveiller en continu : Vérifiez régulièrement vos enregistrements DNS pour détecter les modifications accidentelles ou les expirations, surtout si vous gérez plusieurs sous-domaines.