Baromètre de la sécurité e-mail des sites .fr : SPF et DMARC, septembre 2026
Scanner sécurité e-mail · Étude originale · 19 septembre 2026
Spots 
Nous avons mesuré, par DNS public et en
Nous avons mesuré, par DNS public et en lecture seule, 400 sites en .fr de popularité intermédiaire selon Majestic (ni géants, ni sites confidentiels). La grande majorité publie un SPF ; seuls 28,8 % appliquent réellement un DMARC (quarantine ou reject). Aucun nom d'entreprise n'est cité : uniquement des agrégats.
IC 95 % = intervalle de confiance à
IC 95 % = intervalle de confiance à 95 % (méthode de Wilson). Avec 400 domaines, la marge d'erreur est d'environ ±5 points au maximum pour un pourcentage proche de 50 %. Et votre domaine ? Le même contrôle SPF et DMARC, gratuit, en quelques secondes, sans inscription. 1. SPF et DMARC : deux niveaux d'adoption
La grande majorité des domaines mesurés publie un
La grande majorité des domaines mesurés publie un SPF. DMARC est nettement moins répandu : environ trois domaines sur dix n'en ont aucun.
Base : 400 domaines. Trait clair sur chaque
Base : 400 domaines. Trait clair sur chaque barre : intervalle de confiance à 95 %. Passez la souris sur une ligne pour voir les effectifs. 270 domaines (67,5 %) ont les deux ; 26 (6,5 %) n'ont ni l'un ni l'autre. 2. DMARC : publier une politique n'est pas l'appliquer
Une politique p=none ne fait que surveiller
Une politique p=none ne fait que surveiller : un e-mail usurpé n'est ni mis en quarantaine, ni rejeté. Sur les 400 domaines, la part qui applique réellement DMARC est bien inférieure à celle qui en publie un. Base : 400 domaines. Emboîtement : reject à 100 % ⊂ appliqué ⊂ présent. Répartition des politiques, parmi les 277 domaines avec DMARC
69,3 % des domaines avec DMARC déclarent une
69,3 % des domaines avec DMARC déclarent une adresse rua (192 sur 277), y compris 63,7 % de ceux qui sont en p=none (100 sur 157). Nous ne pouvons pas savoir si ces rapports sont effectivement lus. Parmi les domaines en quarantine ou reject, 4 sur 119 (3,4 %) n'appliquent la politique qu'à une partie des messages (pct < 100). 3. SPF : la fin de l'enregistrement
Le dernier mécanisme d'un SPF dit quoi faire
Le dernier mécanisme d'un SPF dit quoi faire des expéditeurs non listés. -all les refuse ; ~all les signale seulement (échec « souple »). Base : 367 domaines avec un SPF valide et unique. « Aucun all » : ni all ni redirect= aboutissant à un all. 4. SPF : la limite des 10 résolutions DNS
La norme SPF (RFC 7208) plafonne à 10
La norme SPF (RFC 7208) plafonne à 10 le nombre de mécanismes qui déclenchent une résolution DNS (include, a, mx, ptr, exists, redirect), en suivant les include imbriqués. Au-delà, le SPF est invalide (permerror) et peut être ignoré par les serveurs destinataires.
Base : 366 domaines dont la chaîne include/redirect
Base : 366 domaines dont la chaîne include/redirect a pu être entièrement résolue. 3 domaines (0,8 % des SPF valides) ont un include ou redirect pointant vers un nom sans SPF unique : probable permerror, indépendamment du décompte. 5. Comparaison avec l'étude de l'Afnic sur la zone .fr
News
Baromètre de la sécurité e-mail des sites .fr : SPF et DMARC, septembre 2026
Scanner sécurité e-mail · Étude originale · 19 septembre 2026
@spots #dev
Source: Show HN