Baromètre DMARC 2026 : la moitié des PME sans DMARC

N'importe qui peut envoyer un email qui prétend venir de votre entreprise. Ce qui l'en empêche tient en trois réglages gratuits, que l'on appelle SPF, DKIM et DMARC. Nous avons voulu savoir où en sont vraiment les PME françaises. Réponse, mesurée le 21 octobre 2026 sur 5 636 domaines : plus d'une PME sur deux (52 %) n'a aucun enregistrement DMARC, et seulement 11 % ont un réglage qui bloque réellement les faux emails envoyés en leur nom.

Comment nous avons mesuré

Nous ne sommes pas partis d'un fichier de prospects, qui aurait donné une image trop flatteuse (nous y revenons plus bas). Nous avons tiré au hasard 56 872 entreprises dans la base SIRENE de l'INSEE : sociétés actives de 1 à 249 salariés, hors filiales de grands groupes, tous secteurs.

SIRENE ne donne pas le site web d'une entreprise. Pour chacune, nous avons donc testé les adresses web les plus probables (à partir de sa raison sociale) et nous n'avons gardé un site que s'il affiche le numéro SIREN de l'entreprise, en général dans ses mentions légales. C'est une preuve solide : un homonyme n'affiche pas ce numéro. Nous avons ainsi retrouvé 5 812 domaines, dont 5 636 reçoivent du courrier.

Pour chaque domaine, nous avons lu les réglages publics de messagerie, ceux que n'importe quel serveur de messagerie consulte avant d'accepter un email. Les résultats sont repondérés pour respecter le poids réel des TPE, petites et moyennes entreprises et des secteurs dans l'économie française. La méthode complète et les limites sont détaillées en bas de cet article.

Les trois réglages, en deux phrases

• SPF dit quels serveurs ont le droit d'envoyer des emails au nom de votre domaine.
• DKIM ajoute à chaque email une signature qui prouve qu'il n'a pas été modifié et qu'il vient bien de chez vous.
• DMARC dit aux messageries quoi faire d'un email qui échoue à ces contrôles : le laisser passer (p=none), le mettre en spam (p=quarantine) ou le refuser (p=reject). Il permet aussi de recevoir des rapports sur qui envoie en votre nom.

Les résultats

SPF est presque partout. 94 % des PME en ont un, et 83 % ont un SPF correct (un seul enregistrement, qui se termine par une consigne claire). C'est le réglage le plus ancien, et la plupart des hébergeurs le posent d'office.

DKIM est à moitié installé. Nous avons trouvé une signature DKIM sur 49 % des domaines. C'est un minimum : nous avons testé les noms les plus courants, une entreprise peut en utiliser un autre.

DMARC est le grand absent. 52 % des PME n'en ont pas du tout. Et quand il existe, il ne protège pas : dans 78 % des cas, il est réglé sur p=none, c'est-à-dire « surveiller seulement, ne rien bloquer ». Au total, seulement 11 % des PME ont un DMARC qui met en spam ou refuse les faux emails, et 4 % les refusent purement et simplement.

Les rapports DMARC, qui permettent de voir qui envoie en votre nom, ne sont demandés que par 19 % des PME. Près d'un DMARC sur deux (49 %) est un p=none sans adresse pour les rapports : il est là, mais il ne sert à rien.

Plus l'entreprise est petite, moins elle est protégée

Même chez les entreprises de 50 à 249 salariés, plus d'un tiers (36 %) n'a aucun DMARC.

Le fournisseur de messagerie change tout

OVHcloud est le premier fournisseur de messagerie des PME de notre échantillon (près d'un tiers d'entre elles, devant Microsoft à 17 % et Google à 7 %). C'est aussi, avec Gandi (18 %), le fournisseur où DMARC est le plus rare : 21 % des domaines chez OVHcloud en ont un, contre 51 % chez Microsoft et 63 % chez Google.

À l'inverse, 95 % des domaines dont la messagerie est chez IONOS ont un DMARC. Ce n'est pas que leurs clients sont plus prudents : dans 86 % des cas, l'enregistrement renvoie vers IONOS, et il s'agit presque toujours d'un p=none sans adresse de rapports. La présence de DMARC dépend donc surtout de ce que l'hébergeur fait par défaut, pas d'une décision de l'entreprise.

Autre exemple : chez Gandi, seulement 25 % des domaines ont un SPF correct. Le réglage de loin le plus répandu chez eux se termine par ?all, qui veut dire « je ne me prononce pas » : les messageries ne savent pas quoi faire d'un email suspect.

Dernier signe que DMARC est rarement un choix : 15 % des DMARC que nous avons trouvés envoient leurs rapports à Brevo, un outil d'emailing : l'enregistrement a visiblement été posé en suivant la procédure de l'outil, pas par choix.

Selon le secteur

La construction (35 %) et le secteur santé, enseignement et action sociale (35 %) sont les moins équipés. Les services aux entreprises (56 %) et le secteur information, finance et immobilier (56 %) font mieux, sans dépasser une entreprise sur deux de beaucoup.

Ce que ça veut dire pour une PME

Depuis février 2024, Gmail et Yahoo appliquent des règles claires (Google, Yahoo) :

• tout expéditeur doit authentifier ses emails avec SPF ou DKIM ;
• au-delà d'environ 5 000 emails par jour vers Gmail, il faut SPF et DKIM et un DMARC publié, en plus d'un lien de désinscription en un clic et d'un taux de plainte bas.

Notre mesure montre qu'environ 89 % des PME ont un SPF correct ou une signature DKIM, et que 33 % seulement ont à la fois un SPF correct, DKIM et DMARC, le socle technique de la seconde règle (des minimums, puisque DKIM peut nous avoir échappé). Vous n'envoyez sans doute pas 5 000 emails par jour. Mais Gmail, Yahoo et Outlook regardent ces réglages pour tous les expéditeurs : un domaine sans DMARC part avec un handicap, surtout pour des emails de prospection ou des relances commerciales, qui arrivent chez des inconnus.

Et il y a l'autre face du problème, souvent oubliée. Sans DMARC qui bloque, rien n'empêche un escroc d'envoyer à vos clients une fausse facture « de votre part », avec votre adresse en expéditeur. C'est le cas de 89 % des PME françaises de notre échantillon.

Comment se mettre en règle, en quatre étapes

1. Faites le point. Notre diagnostic gratuit lit vos réglages en quelques secondes et vous dit précisément ce qui manque. Rien à installer.
2. Un seul SPF, qui se termine par ~all ou -all. Il doit lister tous les services qui envoient en votre nom (votre messagerie, votre outil d'emailing, votre logiciel de facturation). Deux enregistrements SPF, c'est une erreur : il faut les fusionner.
3. Activez DKIM chez votre fournisseur. Chez Google Workspace, Microsoft 365, OVHcloud ou IONOS, c'est une option dans l'administration, qui donne un ou deux enregistrements à copier dans votre zone DNS.
4. Publiez un DMARC, puis durcissez-le. Commencez par v=DMARC1; p=none; rua=mailto:[email protected] pour recevoir les rapports pendant deux à quatre semaines. Quand ils montrent que tous vos envois légitimes passent, passez à p=quarantine, puis à p=reject.

C'est une heure de travail pour un prestataire informatique, souvent moins. Notre guide SPF, DKIM et DMARC détaille chaque étape, notre article sur les règles Google et Yahoo explique le reste des obligations, et notre guide de la délivrabilité remet le tout en perspective.

Pourquoi nous n'avons pas utilisé nos propres fichiers

Nous avons fait la même mesure, le même jour, sur 869 domaines de dirigeants issus d'un fichier de prospection. Résultat : 67 % ont un DMARC, contre 48 % dans l'échantillon tiré au hasard. Un fichier de prospects sélectionne des entreprises plus actives en ligne, donc mieux équipées. C'est pour cela qu'un baromètre doit partir d'un tirage au hasard, et c'est pour cela que nos chiffres sont plutôt optimistes : les entreprises sans site web, que nous n'avons pas pu mesurer, sont sans doute encore moins protégées.

Méthode en bref

Tirage aléatoire de 56 872 sociétés actives de 1 à 249 salariés dans le stock SIRENE du 1er octobre 2026. Domaine retenu seulement si le SIREN de l'entreprise y est affiché. Lecture DNS le 21 octobre 2026 sur des résolveurs publics (Cloudflare, Google, Quad9), avec reprises en cas d'échec. Résultats pondérés par taille et secteur, sur les 5 636 domaines qui reçoivent du courrier. Marge d'erreur sur l'ensemble : environ 2 à 3 points. Aucune donnée personnelle collectée : seulement des noms de domaine et des réglages publics.

Principales limites : seules les entreprises qui ont un site à leur nom avec leur SIREN sont mesurées ; le domaine du site n'est pas toujours celui qui envoie les emails ; DKIM n'est détecté que sur 24 noms courants. Méthode complète ci-dessous.

Méthode

Encadré complet, pour qui veut vérifier ou reproduire la mesure.

Population. Unités légales actives et diffusibles du stock SIRENE au 1er octobre 2026 (INSEE, data.gouv.fr), personnes morales de droit privé, tranche d'effectif de 1 à 249 salariés, hors filiales d'entreprises de taille intermédiaire et de grandes entreprises, hors administration publique. Population : 1 226 294 entreprises (1 035 924 TPE, 173 498 petites, 16 872 moyennes), regroupées en huit grands secteurs.

Tirage. Aléatoire stratifié par taille : 20 000 TPE, 20 000 petites entreprises et toutes les moyennes, soit 56 872 entreprises. Les plus grandes sont volontairement surreprésentées pour avoir assez de domaines dans chaque taille ; la pondération corrige cet effet.

Retrouver le site. SIRENE ne contient pas l'adresse du site web. Pour chaque entreprise, nous avons fabriqué jusqu'à 10 adresses candidates à partir de la raison sociale et du sigle (en .fr et .com), puis chargé la page d'accueil et les pages de mentions légales, de conditions de vente ou de contact. Le domaine n'est retenu que si le SIREN de l'entreprise y est affiché. Résultat : 5 812 domaines distincts, dont 5 636 avec au moins un enregistrement de messagerie (MX). Un contrôle visuel de 25 domaines tirés au hasard a donné 25 correspondances cohérentes avec la raison sociale ou le nom commercial.

Mesure DNS. Le 21 octobre 2026, sur Cloudflare, Google et Quad9, avec jusqu'à 6 tentatives en cas de réponse en échec (aucun domaine n'est resté en échec). Nous avons relevé le SPF, le DMARC (politique, rapports), les serveurs de messagerie (MX) et 24 noms courants de signature DKIM.

Définitions.

Pondération. Chaque domaine pèse le poids de sa strate (taille croisée avec secteur, 24 strates) dans la population SIRENE. Les intervalles de confiance à 95 % sont calculés par la méthode de Wilson sur l'effectif efficace de Kish.

Limites.

• Seules les entreprises qui ont un site à leur nom, avec leur SIREN affiché, sont mesurées. Les autres sont probablement moins bien équipées : nos taux sont plutôt optimistes.
• Nous mesurons le domaine du site, qui n'est pas toujours celui qui envoie les emails.
• Le fournisseur de messagerie est déduit du serveur de réception ; une passerelle anti-spam peut masquer le fournisseur réel.
• Photographie du 21 octobre 2026 : un domaine a pu changer depuis.
• Pour 7 217 entreprises, au moins une adresse candidate n'a jamais répondu. Les domaines trouvés à la seconde passe, plus lents ou plus protégés, ont un DMARC un peu moins fréquent : un biais de plus qui rend nos chiffres optimistes.
• Les règles Gmail et Yahoo comprennent aussi l'alignement du domaine, la désinscription en un clic et un taux de plainte bas, qui ne se lisent pas dans le DNS.

Données. Seuls des noms de domaine et des enregistrements DNS publics ont été conservés, aucune donnée personnelle. Données agrégées, sans aucun nom de domaine : résultats par indicateur (CSV), résultats détaillés (JSON) et effectifs de la population par taille et secteur (CSV). Version texte de cette méthode : methode.md.