Scanner sécurité e-mail · Étude originale · 19 septembre 2026
Baromètre de la sécurité e-mail des sites .fr : SPF et DMARC, septembre 2026
Nous avons mesuré, par DNS public et en lecture seule, 400 sites en .fr de popularité intermédiaire selon Majestic (ni géants, ni sites confidentiels). La grande majorité publie un SPF ; seuls 28,8 % appliquent réellement un DMARC (quarantine ou reject). Aucun nom d'entreprise n'est cité : uniquement des agrégats.
Chiffres clés
91,8 %
ont un enregistrement SPF valide et unique
367 sur 400 · IC 95 % 88,6–94,1 %
69,2 %
publient un DMARC
277 sur 400 · IC 95 % 64,6–73,6 %
28,8 %
appliquent DMARC (quarantine ou reject, à 100 % des messages)
115 sur 400 · IC 95 % 24,5–33,4 %
1,4 %
dépassent la limite de 10 résolutions DNS du SPF
5 sur 366 SPF entièrement résolus · IC 95 % 0,6–3,2 %
IC 95 % = intervalle de confiance à 95 % (méthode de Wilson). Avec 400 domaines, la marge d'erreur est d'environ ±5 points au maximum pour un pourcentage proche de 50 %.
1. SPF et DMARC : deux niveaux d'adoption
La grande majorité des domaines mesurés publie un SPF. DMARC est nettement moins répandu : environ trois domaines sur dix n'en ont aucun.
SPF
SPF présent91,8 %
Aucun SPF6,2 %
Plusieurs SPF (invalide)2,0 %
DMARC
DMARC présent69,2 %
Aucun DMARC30,0 %
Plusieurs DMARC (invalide)0,8 %
Base : 400 domaines. Trait clair sur chaque barre : intervalle de confiance à 95 %. Passez la souris sur une ligne pour voir les effectifs. 270 domaines (67,5 %) ont les deux ; 26 (6,5 %) n'ont ni l'un ni l'autre.
2. DMARC : publier une politique n'est pas l'appliquer
Une politique p=none ne fait que surveiller : un e-mail usurpé n'est ni mis en quarantaine, ni rejeté. Sur les 400 domaines, la part qui applique réellement DMARC est bien inférieure à celle qui en publie un.
DMARC présent69,2 %
… dont appliqué (quarantine/reject à 100 %)28,8 %
… dont reject à 100 %13,0 %
Base : 400 domaines. Emboîtement : reject à 100 % ⊂ appliqué ⊂ présent.
Répartition des politiques, parmi les 277 domaines avec DMARC
p=none (surveillance seule)56,7 %
p=quarantine23,8 %
p=reject19,1 %
p= invalide0,4 %
69,3 % des domaines avec DMARC déclarent une adresse rua (192 sur 277), y compris 63,7 % de ceux qui sont en p=none (100 sur 157). Nous ne pouvons pas savoir si ces rapports sont effectivement lus. Parmi les domaines en quarantine ou reject, 4 sur 119 (3,4 %) n'appliquent la politique qu'à une partie des messages (pct < 100).
3. SPF : la fin de l'enregistrement
Le dernier mécanisme d'un SPF dit quoi faire des expéditeurs non listés. -all les refuse ; ~all les signale seulement (échec « souple »).
-all (refus)44,1 %
~all (échec souple)49,0 %
?all (neutre)6,0 %
+all (tout autorisé)0,0 %
Aucun « all »0,8 %
Base : 367 domaines avec un SPF valide et unique. « Aucun all » : ni all ni redirect= aboutissant à un all.
4. SPF : la limite des 10 résolutions DNS
La norme SPF (RFC 7208) plafonne à 10 le nombre de mécanismes qui déclenchent une résolution DNS (include, a, mx, ptr, exists, redirect), en suivant les include imbriqués. Au-delà, le SPF est invalide (permerror) et peut être ignoré par les serveurs destinataires.
01,4 %
1 à 352,2 %
4 à 630,3 %
7 à 10 (près de la limite)14,8 %
Plus de 10 (dépassement)1,4 %
Base : 366 domaines dont la chaîne include/redirect a pu être entièrement résolue. 3 domaines (0,8 % des SPF valides) ont un include ou redirect pointant vers un nom sans SPF unique : probable permerror, indépendamment du décompte.
5. Comparaison avec l'étude de l'Afnic sur la zone .fr
L'Afnic (registre du .fr) publie chaque année une mesure sur l'ensemble de la zone. Sa version 2025 porte sur tous les domaines .fr, avec ou sans MX, sans tenir compte de la popularité. Notre échantillon est différent (domaines populaires avec MX) : les deux séries ne sont pas directement comparables, et l'écart s'explique probablement en partie par cette différence de population (hypothèse, non testée ici).
Afnic 2025 : SPF, DKIM, DMARC and BIMI on .fr: still on the rise in 2025 (30 septembre 2025), afnic.fr. Les 62,7 % de p=none additionnent les deux lignes publiées par l'Afnic (49,7 % sans rua et 13,0 % avec rua). Les pourcentages de politique portent sur les seuls domaines ayant un DMARC.
Constat prudent : la répartition des politiques parmi les domaines qui publient un DMARC est proche dans les deux mesures (environ un sur cinq en reject), alors que la part de domaines qui publient un DMARC est très différente. Nous ne mesurons pas DKIM, que l'Afnic inclut.
Méthodologie
- Source de l'échantillon : liste publique Majestic Million (majestic.com), fichier téléchargé le 19 septembre 2026 (empreinte SHA-256 : a6702cfa72320d753147f4a91d53a15ee8221df24b652416376ee6a33bf1f91a). Ce fichier est mis à jour en continu : refaire l'étude plus tard donnerait un autre échantillon.
- Filtres : domaines en .fr, rang parmi les .fr (colonne TldRank) de 3 000 à 30 000, soit 13 297 domaines candidats. Le rang mondial 3 000–30 000 ne contient que 389 domaines .fr, trop peu pour un échantillon de 400.
- Tirage : mélange aléatoire avec la graine fixe 2026, puis conservation des 400 premiers domaines disposant d'un enregistrement MX (hors « MX nul »). 535 domaines ont été testés : 131 sans MX, 4 écartés pour échec DNS, 400 retenus.
- Mesure : requêtes DNS publiques en lecture seule (DNS-over-HTTPS, résolveur Cloudflare), 5 requêtes par seconde au plus, 19 septembre 2026. Aucune connexion à un serveur de messagerie ni au site des domaines. 1 623 requêtes au total.
- SPF : enregistrement TXT commençant par v=spf1; « plusieurs SPF » = invalide ; qualificateur final lu surall(ou sur leredirect=en l'absence deall) ; décompte récursif des mécanismesinclude,a,mx,ptr,existsetredirect.
- DMARC : enregistrement TXT _dmarc.<domaine>commençant parv=DMARC1; lecture dep,pct(100 par défaut) et de la présence derua.
- Contrôle : les 5 domaines au-dessus de 10 résolutions et les chaînes cassées ont été recomptés indépendamment avec l'outil dig: mêmes résultats.
- Publication : agrégats uniquement. La liste des domaines mesurés n'est pas publiée. Intervalles de confiance à 95 % de Wilson. Un chiffre n'est publié que s'il se calcule sur une base entièrement mesurée : aucun des 400 domaines n'est resté « inconnu » sur SPF ni sur DMARC ; un seul domaine, dont la chaîne SPF n'a pas pu être entièrement résolue, est exclu du seul décompte des résolutions (base 366 au lieu de 367).
Limites
- Pas représentatif de « toutes les entreprises françaises ». L'échantillon se compose de domaines .fr assez populaires selon Majestic (un classement fondé sur les liens entrants, pas sur l'audience). Les très petites structures, les sites peu liés, les domaines en .com ou d'autres extensions et les PME discrètes en sont absents.
- DKIM non mesuré. Un enregistrement DKIM ne se trouve qu'en connaissant son sélecteur, propre à chaque domaine ; sans lui, une absence ne prouve rien. Aucun chiffre DKIM n'est publié.
- Adresse rua : présence seulement. Nous voyons si une adresse est déclarée, pas si les rapports sont reçus, lus ou traités, ni si une adresse externe a autorisé la réception.
- Un SPF présent n'est pas un SPF juste. Nous ne vérifions pas que la liste des expéditeurs autorisés est complète ni cohérente avec l'usage réel du domaine.
- DMARC lu sur le domaine exact. Pas de repli sur le domaine parent ; un seul domaine de l'échantillon est un sous-domaine.
- Décompte SPF simplifié. Nous comptons les mécanismes, pas les résolutions secondaires (par exemple les adresses des serveurs MX derrière mx) ni les « void lookups ».
- Photographie unique. Une seule passe le 19 septembre 2026 ; les enregistrements DNS changent.
- Marge d'erreur. Voir les intervalles de confiance ; ils sont plus larges pour les sous-groupes (par exemple 277 domaines avec DMARC). Ils ne corrigent pas le biais de sélection décrit ci-dessus.
Données
Agrégats téléchargeables (CSV, 31 lignes : effectifs, base, pourcentages, intervalles de confiance) : barometre-agrege.csv. Réutilisation libre avec mention de la source, licence CC BY 4.0 : « Scanner sécurité e-mail PME, Baromètre SPF/DMARC des sites .fr, septembre 2026 ».
Voir toutes les données sous forme de tableau