# Baromètre DMARC des PME françaises : méthode

Mesure du 21 octobre 2026.

## En une phrase

56 872 entreprises tirées au hasard dans la base SIRENE, 5 812 domaines web retrouvés et
prouvés par le SIREN affiché sur le site, 5 636 domaines qui reçoivent du courrier mesurés
au DNS (SPF, DMARC, MX, DKIM) le 21 octobre 2026, résultats repondérés sur la population SIRENE.

## 1. Population et tirage 

- Source : fichier « StockUniteLegale » de la base SIRENE au 1er octobre 2026 (data.gouv.fr,
  format parquet, 30 148 401 unités légales).
- Population retenue : unités légales **actives**, **diffusibles**, personnes morales de droit
  privé (catégories juridiques 5xxx et 6xxx), avec une **tranche d'effectif salarié de 1 à 249**
  connue pour 2022 ou après, hors filiales d'ETI et de grandes entreprises (catégorie INSEE
  ETI ou GE), hors administration publique (NAF O), ménages employeurs (T) et organismes
  extraterritoriaux (U). Les entrepreneurs individuels (personnes physiques) et les
  associations sont exclus par construction. Population : **1 226 294 entreprises**.
- Trois tailles : TPE (1 à 9 salariés, 1 035 924), petites (10 à 49, 173 498), moyennes
  (50 à 249, 16 872). Huit grands secteurs regroupant les sections NAF.
- Tirage aléatoire stratifié par taille, graine fixe 20261021 : 20 000 TPE, 20 000 petites et
  **toutes** les moyennes (16 872), soit 56 872 entreprises. Le tirage surreprésente
  volontairement les plus grandes, pour avoir assez de domaines dans chaque taille ; la
  pondération corrige (voir § 5).

## 2. Retrouver le domaine 

SIRENE ne contient pas le site web (l'API Recherche d'entreprises non plus : vérifié le
21/10/2026, aucun champ site). Il n'existe pas de source publique et exhaustive qui relie SIREN
et domaine : Wikidata en relie quelques-uns, mais surtout des entreprises connues, ce qui
fausserait l'échantillon. Méthode retenue, « deviner puis prouver » :

1. Pour chaque entreprise, jusqu'à 10 domaines candidats sont fabriqués à partir de la
   dénomination, de la dénomination usuelle et du sigle, sans les formes juridiques (SAS,
   SARL…) : mots collés, mots séparés par des tirets, sans les mots vides, en `.fr` et `.com`.
2. La page d'accueil du candidat est chargée (https, puis https avec www, puis http avec www),
   puis jusqu'à 6 pages liées dont l'adresse ou le texte évoque les mentions légales, les CGV,
   le contact, « qui sommes-nous », plus `/mentions-legales` à défaut.
3. **Le domaine n'est retenu que si le SIREN de l'entreprise apparaît sur l'une de ces pages**
   (9 chiffres, espacés ou non, seuls ou dans un SIRET ou un numéro de TVA). Un homonyme, une
   page parquée ou un revendeur de domaines n'affiche pas ce numéro : la preuve est forte.
   Contrôle visuel de 25 domaines prouvés tirés au hasard : 25 cohérents avec la raison
   sociale ou le nom commercial.
4. Si l'accueil redirige vers un autre domaine (ex. `marque.fr` vers `marque.com`), c'est le
   domaine d'arrivée qui est retenu. Un domaine trouvé pour deux entreprises (groupe, holding)
   n'est compté qu'une fois.
5. L'existence de chaque candidat est vérifiée par DNS directement sur Cloudflare et Google
   (le résolveur local du poste a produit des faux « domaine inexistant » le 21/10 : les
   résultats obtenus avec lui ont été jetés et refaits).
6. Deux passes : la première à 250 entreprises en parallèle, la seconde à 100 avec des délais
   plus longs, uniquement sur les candidats dont le résultat a pu être faussé par une erreur
   réseau (site qui n'a pas répondu, page secondaire en échec). La seconde passe a ajouté
   1 239 domaines. Après elle, 7 217 entreprises gardent au moins un candidat jamais joint
   (site lent, hébergeur qui bloque les requêtes répétées) : elles n'ont pas de domaine.

Résultat : 5 812 domaines distincts prouvés sur 56 872 entreprises traitées
(10,2 %), dont 1 231 TPE, 2 129 petites et 2 452 moyennes.

## 3. Mesure DNS 

- `dig` sur trois résolveurs publics : Cloudflare (1.1.1.1) et Google (8.8.8.8) en alternance,
  Quad9 (9.9.9.9) en troisième recours. Une réponse n'est acceptée que si le statut est
  NOERROR ou NXDOMAIN ; sinon nouvelle tentative, 6 au maximum (3 pour les sélecteurs DKIM).
  Un domaine dont MX, TXT racine ou `_dmarc` reste en échec est sorti des calculs
  (0 domaines).
- **SPF** : TXT de la racine commençant par `v=spf1`. Plusieurs enregistrements = erreur
  (RFC 7208). « all » final suivi à travers `redirect=`. Recherches DNS comptées comme un
  récepteur (include, a, mx, ptr, exists, redirect, récursivement) ; plus de 10 = erreur.
- **DMARC** : TXT de `_dmarc.<domaine>` commençant par `v=DMARC1`. Un `_dmarc` en CNAME qui ne
  mène à aucun TXT DMARC compte comme **absent** (31 cas). Plusieurs enregistrements =
  invalide. Politique p, sp, pct et présence d'une adresse `rua` relevées. Un enregistrement
  sans `p` mais avec un `rua` valide vaut `p=none` (RFC 7489 § 6.6.3).
- **MX** : le fournisseur de messagerie est déduit du nom d'hôte du MX prioritaire (Google,
  Microsoft, OVHcloud, IONOS, Gandi, Infomaniak, o2switch, Orange, Zoho, one.com, Hostinger,
  LWS, « passerelle de sécurité » pour Mailinblack, Altospam, Vade, Mimecast, Proofpoint…,
  « autre » sinon). Un domaine sans MX ne reçoit pas de courrier : il est mis à part.
- **DKIM** : 24 sélecteurs courants interrogés (google, selector1, selector2, default, dkim,
  mail, k1, k2, s1, s2, smtp, key1, ovhmo-selector-1, ovhmo-selector-2, gm1, s1-ionos, zmail,
  zoho, mailjet, brevo1, hs1, protonmail, mandrill, mte1). Une clé publique non vide = trouvé.
  **On écrit « DKIM trouvé sur un sélecteur courant », jamais « DKIM absent »** : un domaine
  peut signer avec un sélecteur que l'on n'a pas testé. Tout indicateur qui utilise DKIM est
  donc un minorant.
- Aucune donnée personnelle n'est stockée : uniquement des noms de domaine, leur strate
  (taille, secteur) et des enregistrements DNS publics. Le fichier de travail qui relie SIREN
  et domaine n'est pas publié.

## 4. Indicateurs

Dénominateur principal : les **5 636 domaines qui reçoivent du courrier** (au moins un MX).

| Indicateur | Définition |
|---|---|
| SPF présent | au moins un enregistrement `v=spf1` |
| SPF correct | un seul SPF, 10 recherches DNS ou moins, aucun include cassé, se termine par `-all` ou `~all` |
| DMARC présent | un enregistrement DMARC valide et unique, toute politique |
| DMARC qui protège | DMARC en `p=quarantine` ou `p=reject` |
| DMARC avec rapports | DMARC présent avec une adresse `rua` |
| DKIM trouvé | clé trouvée sur un sélecteur courant (minorant) |
| SPF ou DKIM | règle Gmail et Yahoo pour **tout** expéditeur depuis février 2024 (minorant) |
| SPF + DKIM + DMARC | socle technique Gmail et Yahoo pour les expéditeurs de plus de 5 000 messages par jour (minorant) |

Obligations Gmail et Yahoo (février 2024) : tout expéditeur doit authentifier ses messages
par SPF ou DKIM ; au-delà d'environ 5 000 messages par jour vers Gmail, il faut SPF **et**
DKIM, un DMARC publié (au moins `p=none`), l'alignement du domaine expéditeur, la
désinscription en un clic et un taux de plainte sous 0,3 %
([Google](https://support.google.com/mail/answer/81126),
[Yahoo](https://senders.yahooinc.com/best-practices/)). L'alignement, la désinscription et le
taux de plainte ne se lisent pas dans le DNS : notre « socle » ne mesure que la partie DNS.

## 5. Pondération et intervalles de confiance 

- Chaque domaine mesuré reçoit le poids N_h / n_h de sa strate taille × secteur (24 strates),
  N_h étant l'effectif SIRENE de la strate et n_h le nombre de domaines mesurés dans la strate.
  Les chiffres « ensemble des PME » sont donc représentatifs de la composition de la
  population par taille et secteur (85 % de TPE). Les chiffres par taille sont pondérés par
  secteur à l'intérieur de la taille.
- Intervalles de confiance à 95 % : Wilson, calculés sur l'effectif efficace de Kish
  (n_eff = (Σw)² / Σw²), qui tient compte de la perte de précision due aux poids.

## 6. Biais et limites (à lire avant de citer un chiffre)

1. **Biais de présence en ligne** : on ne mesure que les entreprises qui ont un site web à
   leur nom **et** qui y affichent leur SIREN. Les entreprises sans site, avec un site dont le
   nom ne ressemble pas à la raison sociale, ou sans mentions légales, sont absentes. Elles
   sont probablement moins bien équipées : nos taux sont plutôt **optimistes** pour l'ensemble
   des PME. La pondération corrige la taille et le secteur, pas ce biais-là.
2. **Domaine web ≠ domaine d'envoi** : on mesure le domaine du site. La plupart des PME
   envoient depuis ce domaine, mais pas toutes (adresse Gmail ou Orange, autre domaine).
3. **DKIM** : minorant (sélecteurs devinés). Les chiffres « SPF ou DKIM » et
   « SPF + DKIM + DMARC » sont donc des minorants.
4. **Fournisseur** : déduit du MX. Une passerelle anti-spam masque le fournisseur réel.
5. **Instantané** : DNS lu le 21 octobre 2026. Un domaine peut avoir changé depuis.
6. **Effectifs SIRENE** : tranche déclarée (année 2022 ou après), pas l'effectif du jour.
7. **Sites injoignables** : 7 217 entreprises ont au moins un candidat qui n'a jamais répondu.
   Indice d'un biais : les domaines trouvés en seconde passe (sites plus lents ou plus
   protégés) ont un DMARC un peu moins fréquent que ceux de la première passe (TPE : 40 %
   contre 49 %, non pondéré ; petites : 48 % contre 53 % ; moyennes : 64 % contre 65 %).
   Les entreprises jamais jointes sont donc probablement un peu moins équipées : encore un
   biais qui rend nos chiffres **optimistes**.

## 7. Comparaison avec un fichier de prospects

Les 870 domaines d'un fichier de prospection FluenzR ont été remesurés avec le même script, le même jour. Ce fichier
**n'est pas représentatif** : il sélectionne des entreprises actives en ligne et qui font de la
prospection. Il sert uniquement à montrer l'écart (graphique 5), jamais à estimer la
situation des PME.