80,9 % des entreprises locales peuvent être usurpées par e-mail
Un e-mail de votre expert-comptable vous demande de régler la facture du mois sur un nouveau compte bancaire. Votre serveur de messagerie peut-il voir qu’il est falsifié ? Cela dépend de quelques enregistrements publics que publie l’expert-comptable. Nous les avons lus pour 6 937 entreprises locales de 10 pays en octobre 2026.
Étude de Guglielmo Paesano, fondateur d’AIGROW · données sous licence CC BY 4.0
- Domaines lus
- 6 937
- Pays
- 10
- Villes
- 30
- Types d’activité
- 10
- Aucun enregistrement DMARC
- 3 458
Peut-on envoyer des e-mails au nom d’une entreprise locale ? Pour la plupart, oui. En octobre 2026, AIGROW a lu les enregistrements DMARC et SPF publics de 6 937 domaines d’entreprises locales dans 10 pays. 80,9 % ne publiaient aucun enregistrement demandant aux serveurs de messagerie destinataires de refuser tout e-mail falsifié : un message prétendant venir d’elles peut donc arriver dans la boîte de réception d’un client.
Résultats
Chaque domaine est lu une seule fois, depuis le DNS public. Usurpable signifie que le vérificateur gratuit d’usurpation d’e-mail juge le domaine falsifiable.
80,9 % des domaines d’entreprises locales que nous avons lus peuvent être usurpés par e-mail : 5 611 sur 6 937.
3 458 n’ont aucun enregistrement DMARC, 2 093 en ont un réglé sur p=none, qui demande des rapports sans rien bloquer, et 60 ont un enregistrement défaillant ou appliqué à une partie seulement de leur courrier. 1 266 (18,2 %) demandent aux serveurs destinataires de mettre en quarantaine ou de refuser chaque message falsifié.
Parmi les 5 611 domaines usurpables, 4 159 publient bien un SPF, et 1 573 d’entre eux le terminent par -all, le réglage strict.
Le SPF liste les serveurs autorisés à envoyer des e-mails pour un domaine et vérifie l’adresse de retour cachée dans le message. L’expéditeur que voit un client n’est vérifié que lorsque DMARC demande au serveur destinataire de faire correspondre les deux. Sur l’ensemble de l’échantillon, 5 329 domaines sur 6 937 publient un SPF.
Selon les pays, la part varie de 72,2 % aux Pays-Bas à 94,3 % en Italie.
Selon le type d’activité, elle va de 72,5 % (avocats) à 89,2 % (restaurants). Les experts-comptables, dont les clients agissent à partir d’e-mails portant sur des paiements, sont à 74,2 %.
Pays par pays
Part des domaines de chaque pays par politique DMARC, trois villes par pays, des plus exposés aux moins exposés.
| Pays | Domaines | Aucun DMARC | p=none | Quarantaine | Rejet | Invalide | Peut être usurpé |
|---|---|---|---|---|---|---|---|
| Italie | 546 | 43,8 % | 49,3 % | 3,5 % | 2,6 % | 0,9 % | 94,3 % |
| France | 717 | 64,7 % | 22,3 % | 8,1 % | 4,7 % | 0,1 % | 87,7 % |
| Canada | 766 | 56,3 % | 28,9 % | 10,1 % | 4,3 % | 0,5 % | 86,2 % |
| États-Unis | 629 | 61,2 % | 23,1 % | 8,9 % | 6,7 % | 0,2 % | 84,7 % |
| Espagne | 689 | 51,1 % | 31,2 % | 13,2 % | 3,8 % | 0,7 % | 83,3 % |
| Australie | 659 | 51,9 % | 28,7 % | 10,5 % | 8,3 % | 0,6 % | 81,6 % |
| Royaume-Uni | 651 | 43,8 % | 31,8 % | 10,1 % | 14,3 % | 0,0 % | 77,1 % |
| Allemagne | 996 | 43,4 % | 29,2 % | 7,6 % | 19,7 % | 0,1 % | 73,2 % |
| Suisse | 618 | 53,1 % | 19,4 % | 16,5 % | 10,8 % | 0,2 % | 72,8 % |
| Pays-Bas | 666 | 30,0 % | 41,4 % | 15,9 % | 11,9 % | 0,8 % | 72,2 % |
Par type d’entreprise
Part des domaines de chaque type d’activité par politique DMARC, les dix pays réunis, des plus exposés aux moins exposés.
| Type d’entreprise | Domaines | Aucun DMARC | p=none | Quarantaine | Rejet | Invalide | Peut être usurpé |
|---|---|---|---|---|---|---|---|
| Restaurants | 1 190 | 57,8 % | 30,5 % | 5,7 % | 5,6 % | 0,3 % | 89,2 % |
| Salons de coiffure | 940 | 57,4 % | 26,9 % | 8,4 % | 6,3 % | 1,0 % | 85,5 % |
| Hôtels | 997 | 47,3 % | 32,0 % | 11,8 % | 8,6 % | 0,2 % | 80,2 % |
| Vétérinaires | 411 | 42,6 % | 36,7 % | 9,0 % | 11,2 % | 0,5 % | 80,0 % |
| Dentistes | 806 | 47,1 % | 31,6 % | 12,9 % | 7,9 % | 0,4 % | 79,5 % |
| Garages automobiles | 549 | 55,9 % | 22,2 % | 11,7 % | 10,0 % | 0,2 % | 78,7 % |
| Architectes | 451 | 49,7 % | 28,4 % | 11,8 % | 10,2 % | 0,0 % | 78,5 % |
| Agences immobilières | 653 | 37,4 % | 38,4 % | 11,3 % | 12,3 % | 0,6 % | 77,0 % |
| Experts-comptables | 275 | 49,1 % | 24,0 % | 11,6 % | 14,5 % | 0,7 % | 74,2 % |
| Avocats | 665 | 44,1 % | 27,8 % | 13,7 % | 14,4 % | 0,0 % | 72,5 % |
Comment se terminent les enregistrements SPF
Le dernier terme d’un enregistrement SPF indique au destinataire quoi faire du courrier venant d’un serveur absent de la liste. Les 6 937 domaines.
| Enregistrement SPF | Domaines | Partager | Peut être usurpé |
|---|---|---|---|
| Se termine par -all, le réglage strict | 2 293 | 33,1 % | 1 573 |
| Se termine par ~all, signalé mais accepté | 2 842 | 41,0 % | 2 401 |
| Se termine par ?all, aucun avis | 155 | 2,2 % | 150 |
| Se termine par +all, tous les serveurs autorisés | 3 | 0,0 % | 3 |
| Aucun terme all | 36 | 0,5 % | 32 |
| Défaillant ou en double | 53 | 0,8 % | 50 |
| Aucun enregistrement SPF | 1 555 | 22,4 % | 1 402 |
Méthodologie de l’étude
- Les entreprises
- Entreprises référencées sur OpenStreetMap dans un rayon de 6 km autour du centre de 30 villes, trois par pays, dans 10 types d’activité, chacune avec son propre site web. C’est le domaine de ce site qui est lu. Au plus 40 par type d’activité et par ville, choisies par un hachage fixe du domaine afin qu’une nouvelle exécution retienne les mêmes. Les villes : États-Unis (New York, Chicago, Los Angeles), Royaume-Uni (Londres, Manchester, Birmingham), Canada (Toronto, Vancouver, Montréal), Australie (Sydney, Melbourne, Brisbane), France (Paris, Lyon, Marseille), Allemagne (Berlin, Munich, Hambourg), Italie (Milan, Rome, Turin), Pays-Bas (Amsterdam, Rotterdam, Utrecht), Espagne (Madrid, Barcelone, Valence), Suisse (Zurich, Berne, Lausanne).
- Chaînes exclues
- OpenStreetMap a répertorié 34 647 domaines distincts. 728 d’entre eux apparaissent dans plus d’une ville, ce qui signale une chaîne ou un annuaire, et ont été écartés. Un domaine répertorié sous deux types d’activité dans une même ville n’est compté qu’une fois.
- La lecture
- Lecture (le 28 octobre 2026) via les résolveurs publics (1.1.1.1, 8.8.8.8), avec le code du vérificateur gratuit d’usurpation d’e-mail : l’enregistrement DMARC du domaine, ou de son domaine parent s’il n’en a pas, l’enregistrement SPF avec ses includes et redirects, et l’enregistrement MX. Les 47 domaines pour lesquels le DNS public n’a pas répondu sont exclus de tous les décomptes.
- Peut être usurpé
- Le vérificateur considère un domaine comme usurpable lorsque rien de ce qu’il publie ne demande aux destinataires de bloquer le courrier falsifié : aucun enregistrement DMARC, une politique none, un enregistrement défaillant ou en double, une quarantaine appliquée à une partie seulement du courrier, ou un enregistrement SPF qui autorise tous les serveurs à envoyer. Partiellement protégé signifie un rejet appliqué à une partie seulement du courrier, ou des sous-domaines laissés ouverts. Protégé signifie une quarantaine ou un rejet sur la totalité du courrier.
- Ce que le DNS ne montre pas
- Les enregistrements disent ce qu’un domaine demande aux serveurs destinataires. Ils ne montrent pas si un serveur donné respecte cette demande, si l’entreprise signe son courrier avec DKIM (une clé de signature ne se trouve que sous un nom choisi par l’expéditeur), ni si un fraudeur utilise plutôt un domaine ressemblant. 951 des 6 937 domaines n’ont aucun enregistrement MX et n’envoient peut-être aucun courrier ; ils sont comptés avec les autres, car un fraudeur n’a pas besoin que le vrai domaine reçoive quoi que ce soit.
- Des décomptes uniquement
- Aucun site web n’a été ouvert et aucun serveur de messagerie n’a été contacté. Les données contiennent des décomptes par pays et par type d’activité, jamais un nom d’entreprise ni un domaine : une liste d’entreprises dont l’e-mail peut être falsifié serait une liste de cibles. Un pays et un type d’activité comptant moins de 10 domaines sont exclus du CSV. Business data © OpenStreetMap contributors, ODbL 1.0.
Données et citation
Guglielmo Paesano, AIGROW. Combien d’entreprises locales peuvent être usurpées par e-mail, octobre 2026, aigrow.gg/research/email-spoofing-2026. Les chiffres et les données sont publiés sous CC BY 4.0 : réutilisez-les avec un lien vers cette page.
Télécharger les données au format CSV
Pour la presse, Guglielmo Paesano, fondateur d’AIGROW et auteur de l’étude, répond aux questions par e-mail à l’adresse hello@aigrow.gg.
À propos de l’auteur : Guglielmo Paesano a fondé AIGROW, qui a créé le vérificateur gratuit d’usurpation d’e-mail avec lequel cette étude lit les domaines, et qui configure DMARC pour les petites entreprises.
Quelqu’un peut-il envoyer des e-mails au nom de votre entreprise ?
Le vérificateur gratuit lit vos enregistrements DMARC, SPF et DKIM et vous donne les enregistrements exacts à publier. Si vous préférez qu’on s’en charge pour vous, le service de configuration DMARC coûte 149 €, payé une seule fois.
Édition octobre 2026 · données sous licence CC BY 4.0