Scanner sécurité e-mail · Étude originale · 19 septembre 2026
Nous avons mesuré, par DNS public et en lecture seule, 400 sites en .fr de popularité intermédiaire selon Majestic (ni géants, ni sites confidentiels). La grande majorité publie un SPF ; seuls 28,8 % appliquent réellement un DMARC (quarantine ou reject). Aucun nom d'entreprise n'est cité : uniquement des agrégats.
IC 95 % = intervalle de confiance à 95 % (méthode de Wilson). Avec 400 domaines, la marge d'erreur est d'environ ±5 points au maximum pour un pourcentage proche de 50 %.
Et votre domaine ? Le même contrôle SPF et DMARC, gratuit, en quelques secondes, sans inscription.
Testez votre domaine → Compter les lookups SPFLa grande majorité des domaines mesurés publie un SPF. DMARC est nettement moins répandu : environ trois domaines sur dix n'en ont aucun.
Base : 400 domaines. Trait clair sur chaque barre : intervalle de confiance à 95 %. Passez la souris sur une ligne pour voir les effectifs. 270 domaines (67,5 %) ont les deux ; 26 (6,5 %) n'ont ni l'un ni l'autre.
Une politique p=none ne fait que surveiller : un e-mail usurpé n'est ni mis en quarantaine, ni rejeté. Sur les 400 domaines, la part qui applique réellement DMARC est bien inférieure à celle qui en publie un.
Base : 400 domaines. Emboîtement : reject à 100 % ⊂ appliqué ⊂ présent.
69,3 % des domaines avec DMARC déclarent une adresse rua (192 sur 277), y compris 63,7 % de ceux qui sont en p=none (100 sur 157). Nous ne pouvons pas savoir si ces rapports sont effectivement lus. Parmi les domaines en quarantine ou reject, 4 sur 119 (3,4 %) n'appliquent la politique qu'à une partie des messages (pct < 100).
Le dernier mécanisme d'un SPF dit quoi faire des expéditeurs non listés. -all les refuse ; ~all les signale seulement (échec « souple »).
Base : 367 domaines avec un SPF valide et unique. « Aucun all » : ni all ni redirect= aboutissant à un all.
La norme SPF (RFC 7208) plafonne à 10 le nombre de mécanismes qui déclenchent une résolution DNS (include, a, mx, ptr, exists, redirect), en suivant les include imbriqués. Au-delà, le SPF est invalide (permerror) et peut être ignoré par les serveurs destinataires.
Base : 366 domaines dont la chaîne include/redirect a pu être entièrement résolue. 3 domaines (0,8 % des SPF valides) ont un include ou redirect pointant vers un nom sans SPF unique : probable permerror, indépendamment du décompte.
L'Afnic (registre du .fr) publie chaque année une mesure sur l'ensemble de la zone. Sa version 2025 porte sur tous les domaines .fr, avec ou sans MX, sans tenir compte de la popularité. Notre échantillon est différent (domaines populaires avec MX) : les deux séries ne sont pas directement comparables, et l'écart s'explique probablement en partie par cette différence de population (hypothèse, non testée ici).
| Indicateur | Ce baromètre (400 domaines .fr populaires avec MX, 2026) | Afnic 2025 (tous les .fr) |
|---|---|---|
| Domaines avec SPF | 91,8 % | 69,0 % |
| Domaines avec DMARC | 69,2 % | 19,5 % |
| Parmi les DMARC : p=none | 56,7 % | 62,7 % |
| Parmi les DMARC : p=quarantine | 23,8 % | 16,7 % |
| Parmi les DMARC : p=reject | 19,1 % | 20,6 % |
Afnic 2025 : SPF, DKIM, DMARC and BIMI on .fr: still on the rise in 2025 (30 septembre 2025), afnic.fr. Les 62,7 % de p=none additionnent les deux lignes publiées par l'Afnic (49,7 % sans rua et 13,0 % avec rua). Les pourcentages de politique portent sur les seuls domaines ayant un DMARC.
Constat prudent : la répartition des politiques parmi les domaines qui publient un DMARC est proche dans les deux mesures (environ un sur cinq en reject), alors que la part de domaines qui publient un DMARC est très différente. Nous ne mesurons pas DKIM, que l'Afnic inclut.
a6702cfa72320d753147f4a91d53a15ee8221df24b652416376ee6a33bf1f91a). Ce fichier est mis à jour en continu : refaire l'étude plus tard donnerait un autre échantillon..fr, rang parmi les .fr (colonne TldRank) de 3 000 à 30 000, soit 13 297 domaines candidats. Le rang mondial 3 000–30 000 ne contient que 389 domaines .fr, trop peu pour un échantillon de 400.v=spf1 ; « plusieurs SPF » = invalide ; qualificateur final lu sur all (ou sur le redirect= en l'absence de all) ; décompte récursif des mécanismes include, a, mx, ptr, exists et redirect._dmarc.<domaine> commençant par v=DMARC1 ; lecture de p, pct (100 par défaut) et de la présence de rua.dig : mêmes résultats.mx) ni les « void lookups ».Agrégats téléchargeables (CSV, 31 lignes : effectifs, base, pourcentages, intervalles de confiance) : barometre-agrege.csv. Réutilisation libre avec mention de la source, licence CC BY 4.0 : « Scanner sécurité e-mail PME, Baromètre SPF/DMARC des sites .fr, septembre 2026 ».
| Indicateur | Catégorie | Effectif / base | % | IC 95 % (points) |
|---|---|---|---|---|
| SPF — présence (base : 400 domaines) | présent (un seul enregistrement) | 367/400 | 91,8 % | 88,6–94,1 |
| SPF — présence (base : 400 domaines) | absent | 25/400 | 6,2 % | 4,3–9,1 |
| SPF — présence (base : 400 domaines) | plusieurs enregistrements (invalide) | 8/400 | 2,0 % | 1,0–3,9 |
| SPF — qualificateur final (base : SPF valides) | -all | 162/367 | 44,1 % | 39,1–49,3 |
| SPF — qualificateur final (base : SPF valides) | ~all | 180/367 | 49,0 % | 44,0–54,1 |
| SPF — qualificateur final (base : SPF valides) | ?all | 22/367 | 6,0 % | 4,0–8,9 |
| SPF — qualificateur final (base : SPF valides) | +all | 0/367 | 0,0 % | 0,0–1,0 |
| SPF — qualificateur final (base : SPF valides) | aucun « all » (ni redirect aboutissant à un « all ») | 3/367 | 0,8 % | 0,3–2,4 |
| SPF — mécanismes déclenchant une résolution DNS | 0 | 5/366 | 1,4 % | 0,6–3,2 |
| SPF — mécanismes déclenchant une résolution DNS | 1-3 | 191/366 | 52,2 % | 47,1–57,3 |
| SPF — mécanismes déclenchant une résolution DNS | 4-6 | 111/366 | 30,3 % | 25,8–35,2 |
| SPF — mécanismes déclenchant une résolution DNS | 7-10 | 54/366 | 14,8 % | 11,5–18,8 |
| SPF — mécanismes déclenchant une résolution DNS | >10 | 5/366 | 1,4 % | 0,6–3,2 |
| SPF — dépassement de la limite de 10 | oui | 5/366 | 1,4 % | 0,6–3,2 |
| SPF — chaîne include/redirect cassée | oui | 3/367 | 0,8 % | 0,3–2,4 |
| DMARC — présence (base : 400 domaines) | présent (un seul enregistrement) | 277/400 | 69,2 % | 64,6–73,6 |
| DMARC — présence (base : 400 domaines) | absent | 120/400 | 30,0 % | 25,7–34,7 |
| DMARC — présence (base : 400 domaines) | plusieurs enregistrements (invalide) | 3/400 | 0,8 % | 0,3–2,2 |
| DMARC — politique p= (base : DMARC valides) | p=none | 157/277 | 56,7 % | 50,8–62,4 |
| DMARC — politique p= (base : DMARC valides) | p=quarantine | 66/277 | 23,8 % | 19,2–29,2 |
| DMARC — politique p= (base : DMARC valides) | p=reject | 53/277 | 19,1 % | 14,9–24,2 |
| DMARC — politique p= (base : DMARC valides) | invalide | 1/277 | 0,4 % | 0,1–2,0 |
| DMARC — pct inférieur à 100 (base : quarantine/reject) | oui | 4/119 | 3,4 % | 1,3–8,3 |
| DMARC — p=none avec adresse rua (base : p=none) | oui | 100/157 | 63,7 % | 55,9–70,8 |
| DMARC — adresse rua présente (base : DMARC valides) | oui | 192/277 | 69,3 % | 63,6–74,5 |
| SPF et DMARC tous deux présents | oui | 270/400 | 67,5 % | 62,8–71,9 |
| Ni SPF valide ni DMARC valide | oui | 26/400 | 6,5 % | 4,5–9,4 |
| DMARC appliqué : quarantine ou reject à 100 % | oui | 115/400 | 28,8 % | 24,5–33,4 |
| DMARC en reject à 100 % | oui | 52/400 | 13,0 % | 10,1–16,7 |
| Mesures SPF restées inconnues (échec DNS) | oui | 0/400 | 0,0 % | 0,0–1,0 |
| Mesures DMARC restées inconnues (échec DNS) | oui | 0/400 | 0,0 % | 0,0–1,0 |
Votre domaine fait-il partie des 30,0 % sans DMARC ? Vérifiez SPF, DMARC, DKIM et MX gratuitement, sans inscription.
Testez votre domaine → Tester SPF Tester DKIM