Chaque année, l'Afnic publie l'état de l'authentification email sur le .fr. En 2025, un domaine sur cinq avait un DMARC. Nous avons voulu savoir où on en était aujourd'hui, et surtout regarder derrière le chiffre : un DMARC présent est-il un DMARC qui protège ?
En octobre 2026, nous avons donc interrogé le DNS de chacun des 4 675 747 domaines .fr en service : enregistrements MX, SPF, DMARC et serveurs DNS, puis la résolution complète de chaque SPF. Plus de 18 millions de requêtes DNS, uniquement des données publiques.
Le résultat tient en une phrase : le DMARC a presque doublé en un an, mais plus de la moitié de ces DMARC ne protègent rien.
Les chiffres clés
| Sur l'ensemble des domaines .fr | 2025 (Afnic) | 2026 (notre mesure) |
|---|---|---|
| SPF publié | 69,0 % | 70,3 % |
| DMARC publié | 19,5 % | 35,3 % |
DMARC en p=reject | ≈ 4 % (estimation) | 6,5 % |
Le DMARC passe d'un domaine sur cinq à un domaine sur trois. C'est une vraie progression. Mais seuls 6,5 % des domaines .fr demandent aux messageries de rejeter les emails qui usurpent leur nom.
Un DMARC sur deux est un thermomètre que personne ne lit
DMARC a trois niveaux de politique :
p=none: on observe, on ne bloque rien ;p=quarantine: les emails frauduleux partent en courrier indésirable ;p=reject: ils sont refusés.
Le niveau p=none n'a de sens que si l'on lit les rapports que les messageries envoient (balise rua). C'est l'étape de diagnostic avant de durcir la politique.
Parmi les domaines .fr qui ont un DMARC :
| Politique DMARC | Part |
|---|---|
p=none sans rapport | 55,3 % |
p=none avec rapports | 11,8 % |
p=quarantine | 13,9 % |
p=reject | 18,3 % |
Plus de la moitié des DMARC du .fr sont en p=none sans aucun rapport : ni protection, ni visibilité. Un thermomètre posé au mur, que personne ne regarde.
D'où vient la hausse ? En grande partie de certains hébergeurs grand public qui publient d'office un v=DMARC1; p=none; sur les domaines de leurs clients. À eux seuls, deux hébergeurs l'ont posé sur environ 500 000 domaines. C'est une bonne nouvelle pour l'hygiène générale du DNS. Mais le client n'a souvent pas conscience d'avoir un DMARC, et personne ne pilote la suite.
Un DMARC se pose en cinq minutes. Ce qui protège, c'est de le piloter jusqu'à p=reject.
Côté domaines qui envoient vraiment du mail
Si l'on ne garde que les 3,7 millions de domaines qui ont une messagerie (un vrai serveur MX ou un SPF qui déclare des expéditeurs) :
- 85,7 % ont un SPF ;
- 41,4 % ont un DMARC, mais 16,9 % seulement ont un DMARC « utile », c'est-à-dire bloquant ou avec des rapports lus ;
- 11,6 % sont en politique bloquante (
quarantineoureject), 6,0 % enreject.
Le fournisseur de messagerie change beaucoup la donne. Parmi les domaines hébergés sur Microsoft 365, 18,4 % ont un DMARC bloquant. Parmi ceux dont la messagerie est chez un hébergeur web grand public, on tombe souvent sous les 2 %. Ce n'est pas une question de technologie : Microsoft 365 n'active pas DMARC à votre place. C'est une question de qui s'en occupe. Une entreprise qui a une équipe IT ou un prestataire sur sa messagerie a plus de chances que le sujet ait été traité.
98 000 SPF cassés, et personne ne le sait
Un SPF mal écrit ne déclenche aucune alerte : le domaine a « un SPF », tout semble en ordre. Pourtant, nous avons résolu chaque SPF jusqu'au bout, include par include, et près de 98 000 domaines .fr ont un SPF invalide (permerror). Pour les messageries qui l'évaluent, c'est comme s'ils n'en avaient pas.
| Erreur | Domaines |
|---|---|
include vers un domaine qui n'existe plus | 83 334 |
include vers un domaine sans SPF | 7 129 |
| Plus de 10 requêtes DNS (la limite du standard) | 4 433 |
Faute de frappe dans un include | 1 854 |
Boucle d'include | 752 |
| Autres (void lookups, SPF multiples en cascade) | 324 |
S'y ajoutent 18 593 domaines qui publient deux SPF, ce qui les rend tous les deux invalides. Deux SPF, ce n'est pas deux fois plus de protection : c'est zéro SPF.
Vous pouvez contrôler le vôtre, y compris un SPF que vous n'avez pas encore publié, avec notre vérificateur SPF : plafond des 10 requêtes, syntaxe et pièges classiques. Et pour comprendre pourquoi ce plafond casse un domaine sans prévenir : la limite des dix résolutions SPF.
562 853 domaines .fr usurpables en un clic
Il y a enfin les domaines qui n'envoient aucun email : un nom réservé pour protéger une marque, un ancien site, un domaine acheté « au cas où ». On les oublie, et c'est justement ce qui les rend intéressants pour un fraudeur.
Sur les 734 185 domaines .fr actifs sans messagerie, 562 853 n'ont ni SPF ni DMARC. N'importe qui peut envoyer un email « de leur part », sans qu'aucune messagerie destinataire ait de raison de le refuser. Seuls 10 % sont correctement verrouillés.
Les verrouiller prend deux minutes et ne casse rien, puisque ces domaines n'envoient rien :
nom-de-domaine.fr. TXT "v=spf1 -all"
_dmarc.nom-de-domaine.fr. TXT "v=DMARC1; p=reject;"
Le .fr face au top mondial
Le .fr est-il en retard ? Pour le savoir, nous avons appliqué exactement la même analyse au top 1 million des sites les plus visités au monde, selon la liste Tranco. Ce classement académique, conçu par des chercheurs de KU Leuven, TU Delft et de l'Université Grenoble Alpes, combine plusieurs sources sur 30 jours pour résister aux manipulations. C'est la référence des études de sécurité du web.
Même méthode, mêmes indicateurs, uniquement les domaines qui envoient du mail :
| DMARC | DMARC utile | DMARC bloquant | p=reject | |
|---|---|---|---|---|
| Tout le .fr (3,7 M domaines) | 41,4 % | 16,9 % | 11,6 % | 6,0 % |
| Le .fr du top 1M (9 281 domaines) | 73,0 % | 58,0 % | 31,9 % | 16,0 % |
| Le top 1M mondial (681 000 domaines) | 66,6 % | 49,7 % | 32,0 % | 15,0 % |
| Le top 10 000 mondial (7 474 domaines) | 82,1 % | 76,8 % | 60,0 % | 35,0 % |
Le résultat est sans appel : les sites .fr du top 1M font au moins aussi bien que les sites du top mondial, et mieux sur le DMARC utile. Ils sont 2,7 fois plus souvent en p=reject que l'ensemble des domaines .fr, et 3,4 fois plus souvent dotés d'un DMARC utile.
Le problème n'est donc pas le .fr. C'est la taille. Même extension, même DNS, mêmes outils : ce qui change, c'est qu'une organisation qui pèse dans le top mondial a quelqu'un dont le métier est de piloter sa messagerie. Dans une PME, ce sujet n'est souvent dans la fiche de poste de personne.
Et plus on monte, plus l'écart se creuse : dans le top 10 000 mondial, plus d'un domaine sur trois est en p=reject. C'est près de six fois plus que l'ensemble du .fr.
Ce que nous en retenons
- Avoir un DMARC ne suffit pas. La question à poser à votre équipe ou à votre prestataire n'est pas « a-t-on un DMARC ? », mais « sommes-nous en
p=reject, et qui lit les rapports ? ». - Un SPF se vérifie, il ne se suppose pas. Une faute de frappe ou un outil résilié suffit à le casser, sans aucun symptôme visible.
- Les domaines dormants sont la porte la plus facile à fermer. C'est l'action la plus rentable de cette liste : deux enregistrements DNS, aucun risque.
- Le DNS prend cinq minutes, l'inventaire prend six semaines. Passer de
p=noneàp=rejectdemande d'identifier tout ce qui envoie des emails en votre nom (CRM, facturation, emailing, outils métiers) et de les authentifier un par un. C'est ce travail qui fait la différence, pas l'enregistrement. Nous détaillons la méthode dans passer àp=rejectsans perdre un seul mail légitime.
Méthodologie
- Périmètre .fr : 4 675 747 domaines .fr en service (domaines retirés exclus). 4 419 997 répondent dans le DNS ; 3 685 812 ont une messagerie (MX réel ou SPF déclarant des expéditeurs).
- Périmètre mondial : liste Tranco du top 1 million des sites (téléchargée le 17/10/2026), scannée avec la même méthode le 18 octobre 2026. 973 671 domaines répondent dans le DNS, 682 339 ont une messagerie. Les réponses SPF trop volumineuses ont été relues en TCP : il reste 0,1 % d'indéterminés. Pour la comparaison, les domaines dont la réponse SPF ou DMARC est restée indéterminée sont exclus des deux côtés.
- Collecte : interrogation DNS passive le 18 octobre 2026, depuis notre propre résolveur, à débit volontairement limité. Enregistrements MX, TXT (SPF), TXT
_dmarcet NS ; résolution récursive de chaqueincludeetredirectSPF pour compter les requêtes et détecter les erreurs. - Échecs : chaque requête en échec temporaire a été rejouée. Les domaines sans réponse définitive (2,3 %) sont classés « indéterminés » et jamais comptés comme « sans protection ».
- Non mesuré : DKIM. Le sélecteur DKIM n'est pas découvrable par le DNS, et toute mesure aurait été une estimation basse.
- Données publiques uniquement, aucun nom de domaine cité individuellement.
Et votre domaine ?
En une minute, notre reconnaissance de domaine vous dit dans quelle catégorie se trouve le vôtre : DMARC piloté ou posé d'office, SPF valide ou cassé, sous-domaines et MTA-STS, avec un score sur 100. Pour composer un enregistrement propre et conforme à la nouvelle norme, utilisez le générateur DMARC, et pour ce qui a changé en mai 2026, lisez ce que change le RFC 9989.
Ces chiffres ont été présentés lors du webinar « Sécurité mail 2026 : état des lieux, angles morts et bonnes pratiques », avec Hamza Kondah et Hexadream, le 22 octobre 2026.