Une politique p=none collecte des données de rapport, mais ne fait rien pour empêcher les courriels usurpés d'atteindre les boîtes de réception. Seules les politiques p=quarantine ou p=reject bloquent réellement les tentatives d'usurpation.

Analyse par secteur : télécommunications et santé sous les projecteurs

Le rapport PowerDMARC détaille les performances dans les secteurs bancaire, de l'éducation, gouvernemental, de la santé, des médias, des télécommunications et du transport, révélant des disparités significatives entre les secteurs.

Le secteur bancaire est en tête de l'application à l'échelle nationale, avec 42,0 % à p=reject, mais 58 % des établissements restent vulnérables aux tentatives d'usurpation sophistiquées. Les télécommunications constituent le secteur le plus exposé : 34,1 % des domaines ne disposent d'aucun enregistrement DMARC, une vulnérabilité critique compte tenu du rôle du secteur dans les fraudes de type SIM swapping et de prise de contrôle de compte.

La situation au niveau de la couche de transport est tout aussi préoccupante. L'adoption du MTA-STS sur l'ensemble des domaines canadiens étudiés n'est que de 3,2 %, laissant 96,8 % d'entre eux exposés aux attaques de type homme du milieu et aux attaques par rétrogradation. Les secteurs de la santé et des médias affichent tous deux un taux d'adoption MTA-STS de 0 %, ce qui signifie que les dossiers de patients sensibles et les communications journalistiques sont transmis sans chiffrement TLS imposé. L'adoption du DNSSEC est de 9,4 %, laissant plus de 90 % des domaines canadiens vulnérables au détournement DNS et à l'empoisonnement du cache.

Pourquoi cela concerne directement les équipes marketing et croissance

Les conséquences sur la délivrabilité d'une authentification insuffisante sont désormais concrètes, et non plus théoriques. Les principaux fournisseurs de messagerie, dont Microsoft, Google et Yahoo, exigent maintenant le DMARC pour les expéditeurs en volume, définis comme les organisations envoyant 5 000 courriels ou plus par jour, et ces exigences sont devenues la norme en 2026. Dans le cadre du modèle d'application actuel de Google, les métriques de délivrabilité traditionnelles, notamment les taux d'ouverture et les taux de clic, n'ont aucune valeur si le courriel n'atteint jamais la boîte de réception. Le manuel d'approche classique centré sur l'hygiène des listes et l'optimisation des objets reste pertinent, mais il part du principe que votre courriel arrive à destination. Lorsque l'authentification échoue, Gmail rejette le message avant même qu'une quelconque optimisation n'entre en jeu.

Les responsables marketing doivent comprendre que la délivrabilité commence désormais par la configuration SPF, DKIM et DMARC. Si votre équipe informatique ou sécurité n'a pas correctement mis en place ces protocoles, ou si votre plateforme d'automatisation marketing n'est pas correctement authentifiée, vos campagnes sous-performeront pour des raisons sans aucun lien avec le contenu créatif ou le ciblage.

De la surveillance à l'application : la marche à suivre

Une politique DMARC définie sur p=none offre de la visibilité, non de la protection. Les risques d'usurpation demeurent, et les fournisseurs de messagerie ne traitent pas les domaines sans politique d'application comme pleinement authentifiés.

Le parcours de remédiation standard suit trois étapes de politique : p=none pour la visibilité, p=quarantine pour rediriger les courriels suspects vers les indésirables, et p=reject pour les bloquer entièrement. Les organisations qui utilisent des plateformes complètes atteignent généralement l'application du DMARC en 6 à 8 semaines, contre une moyenne sectorielle de 32 semaines avec des approches manuelles.

Pour les entreprises canadiennes encore en p=none, le point de départ concret est un audit complet de toutes les sources d'envoi autorisées, y compris les plateformes marketing, les CRM et les prestataires de courriel transactionnel, avant de faire évoluer la politique vers p=quarantine. Passer précipitamment à p=reject sans cette visibilité risque de bloquer des courriels légitimes, ce qui nuit directement aux taux de délivrabilité des campagnes.

Les organismes fédéraux canadiens sont tenus de mettre en place SPF, DKIM et DMARC conformément aux règles de configuration des Services de gestion des courriels, ce qui signifie que les entreprises des secteurs réglementés doivent considérer l'application comme une exigence de conformité, et non comme une amélioration facultative. Pour les équipes marketing du secteur privé, l'argument commercial est plus simple : les domaines authentifiés sont délivrés ; les domaines non authentifiés, de moins en moins.

Une politique p=none collecte des données de rapport, mais ne fait rien pour empêcher les courriels usurpés d'atteindre les boîtes de réception. Seules les politiques p=quarantine ou p=reject bloquent réellement les tentatives d'usurpation.

Analyse par secteur : télécommunications et santé sous les projecteurs

Le rapport PowerDMARC détaille les performances dans les secteurs bancaire, de l'éducation, gouvernemental, de la santé, des médias, des télécommunications et du transport, révélant des disparités significatives entre les secteurs.

Le secteur bancaire est en tête de l'application à l'échelle nationale, avec 42,0 % à p=reject, mais 58 % des établissements restent vulnérables aux tentatives d'usurpation sophistiquées. Les télécommunications constituent le secteur le plus exposé : 34,1 % des domaines ne disposent d'aucun enregistrement DMARC, une vulnérabilité critique compte tenu du rôle du secteur dans les fraudes de type SIM swapping et de prise de contrôle de compte.

La situation au niveau de la couche de transport est tout aussi préoccupante. L'adoption du MTA-STS sur l'ensemble des domaines canadiens étudiés n'est que de 3,2 %, laissant 96,8 % d'entre eux exposés aux attaques de type homme du milieu et aux attaques par rétrogradation. Les secteurs de la santé et des médias affichent tous deux un taux d'adoption MTA-STS de 0 %, ce qui signifie que les dossiers de patients sensibles et les communications journalistiques sont transmis sans chiffrement TLS imposé. L'adoption du DNSSEC est de 9,4 %, laissant plus de 90 % des domaines canadiens vulnérables au détournement DNS et à l'empoisonnement du cache.

Pourquoi cela concerne directement les équipes marketing et croissance

Les conséquences sur la délivrabilité d'une authentification insuffisante sont désormais concrètes, et non plus théoriques. Les principaux fournisseurs de messagerie, dont Microsoft, Google et Yahoo, exigent maintenant le DMARC pour les expéditeurs en volume, définis comme les organisations envoyant 5 000 courriels ou plus par jour, et ces exigences sont devenues la norme en 2026. Dans le cadre du modèle d'application actuel de Google, les métriques de délivrabilité traditionnelles, notamment les taux d'ouverture et les taux de clic, n'ont aucune valeur si le courriel n'atteint jamais la boîte de réception. Le manuel d'approche classique centré sur l'hygiène des listes et l'optimisation des objets reste pertinent, mais il part du principe que votre courriel arrive à destination. Lorsque l'authentification échoue, Gmail rejette le message avant même qu'une quelconque optimisation n'entre en jeu.

Les responsables marketing doivent comprendre que la délivrabilité commence désormais par la configuration SPF, DKIM et DMARC. Si votre équipe informatique ou sécurité n'a pas correctement mis en place ces protocoles, ou si votre plateforme d'automatisation marketing n'est pas correctement authentifiée, vos campagnes sous-performeront pour des raisons sans aucun lien avec le contenu créatif ou le ciblage.

De la surveillance à l'application : la marche à suivre

Une politique DMARC définie sur p=none offre de la visibilité, non de la protection. Les risques d'usurpation demeurent, et les fournisseurs de messagerie ne traitent pas les domaines sans politique d'application comme pleinement authentifiés.

Le parcours de remédiation standard suit trois étapes de politique : p=none pour la visibilité, p=quarantine pour rediriger les courriels suspects vers les indésirables, et p=reject pour les bloquer entièrement. Les organisations qui utilisent des plateformes complètes atteignent généralement l'application du DMARC en 6 à 8 semaines, contre une moyenne sectorielle de 32 semaines avec des approches manuelles.

Pour les entreprises canadiennes encore en p=none, le point de départ concret est un audit complet de toutes les sources d'envoi autorisées, y compris les plateformes marketing, les CRM et les prestataires de courriel transactionnel, avant de faire évoluer la politique vers p=quarantine. Passer précipitamment à p=reject sans cette visibilité risque de bloquer des courriels légitimes, ce qui nuit directement aux taux de délivrabilité des campagnes.

Les organismes fédéraux canadiens sont tenus de mettre en place SPF, DKIM et DMARC conformément aux règles de configuration des Services de gestion des courriels, ce qui signifie que les entreprises des secteurs réglementés doivent considérer l'application comme une exigence de conformité, et non comme une amélioration facultative. Pour les équipes marketing du secteur privé, l'argument commercial est plus simple : les domaines authentifiés sont délivrés ; les domaines non authentifiés, de moins en moins.