Le DMARC ne suffit plus : un nouveau livre blanc révèle des failles critiques dans la sécurité des emails
Le livre blanc de TrustNFT met en lumière les attaques par domaines sosies, l'absence de signaux de confiance visibles pour les destinataires, et pourquoi l'application du DMARC nécessite une vérification blockchain complémentaire.
Un nouveau livre blanc technique publié le 8 avril 2026 par TrustNFT.io, société spécialisée dans la sécurité blockchain basée à Miami, soutient que le DMARC (Domain-based Message Authentication, Reporting and Conformance) laisse trois failles critiques dans la sécurité des emails d'entreprise, que nul paramétrage ne peut combler. Ce document, intitulé "The Authentication Gap: Why DMARC Alone Is Not Enough", s'adresse aux responsables de la sécurité informatique, aux RSSI et aux directions en charge de la gestion des risques. Il plaide pour une vérification des domaines ancrée dans la blockchain comme couche de confiance visible par les utilisateurs finaux, là où la pile d'authentification existante atteint ses limites. Pour les équipes marketing et growth qui s'appuient sur l'email comme canal de revenus, les conclusions ont des répercussions directes sur la délivrabilité, la confiance envers la marque et le ROI des campagnes.
Les trois failles que le DMARC ne peut pas combler
La première faille concerne les attaques par domaines sosies. Le DMARC ne protège que le domaine enregistré à l'identique et n'offre aucune protection contre les emails envoyés depuis des adresses frauduleuses que des cybercriminels enregistrent pour usurper l'identité de grandes marques. Des chercheurs en sécurité l'ont confirmé indépendamment : même avec une authentification et une application correctes, le DMARC n'est efficace que contre l'usurpation directe du domaine et ne peut pas empêcher les domaines sosies ou cousins.
Sur une seule période de surveillance de 30 jours, les utilisateurs de TrustNFT Guardian ont signalé des tentatives de phishing provenant de quatre domaines sosies distincts ciblant un grand opérateur d'énergie, tous ayant passé l'authentification DMARC pour leurs propres domaines frauduleux. Ce détail est essentiel : la vérification DMARC était concluante parce que le domaine frauduleux disposait de ses propres enregistrements valides. Le protocole a fonctionné exactement comme prévu, et pourtant l'attaque de phishing a réussi quand même.
La deuxième faille est l'absence de tout signal de confiance visible par le destinataire. Le DMARC opère entièrement en arrière-plan. Même lorsqu'une entreprise applique le DMARC de manière irréprochable, les destinataires ne voient aucun badge, aucun indicateur, aucune confirmation visuelle de l'authenticité de l'email. Ils n'ont donc aucun moyen de distinguer un email conforme au DMARC d'une usurpation d'identité sophistiquée.
La troisième faille porte sur les chiffres bruts d'adoption. Selon Newswire, le livre blanc affirme que moins de 50 % des entreprises du Fortune 500 ont publié un enregistrement DMARC, et moins de 30 % ont configuré le standard au niveau d'application le plus protecteur.
Le DMARC ne suffit plus : un nouveau livre blanc révèle des failles critiques dans la sécurité des emails
Le livre blanc de TrustNFT met en lumière les attaques par domaines sosies, l'absence de signaux de confiance visibles pour les destinataires, et pourquoi l'application du DMARC nécessite une vérification blockchain complémentaire.
Un nouveau livre blanc technique publié le 8 avril 2026 par TrustNFT.io, société spécialisée dans la sécurité blockchain basée à Miami, soutient que le DMARC (Domain-based Message Authentication, Reporting and Conformance) laisse trois failles critiques dans la sécurité des emails d'entreprise, que nul paramétrage ne peut combler. Ce document, intitulé "The Authentication Gap: Why DMARC Alone Is Not Enough", s'adresse aux responsables de la sécurité informatique, aux RSSI et aux directions en charge de la gestion des risques. Il plaide pour une vérification des domaines ancrée dans la blockchain comme couche de confiance visible par les utilisateurs finaux, là où la pile d'authentification existante atteint ses limites. Pour les équipes marketing et growth qui s'appuient sur l'email comme canal de revenus, les conclusions ont des répercussions directes sur la délivrabilité, la confiance envers la marque et le ROI des campagnes.
Les trois failles que le DMARC ne peut pas combler
La première faille concerne les attaques par domaines sosies. Le DMARC ne protège que le domaine enregistré à l'identique et n'offre aucune protection contre les emails envoyés depuis des adresses frauduleuses que des cybercriminels enregistrent pour usurper l'identité de grandes marques. Des chercheurs en sécurité l'ont confirmé indépendamment : même avec une authentification et une application correctes, le DMARC n'est efficace que contre l'usurpation directe du domaine et ne peut pas empêcher les domaines sosies ou cousins.
Sur une seule période de surveillance de 30 jours, les utilisateurs de TrustNFT Guardian ont signalé des tentatives de phishing provenant de quatre domaines sosies distincts ciblant un grand opérateur d'énergie, tous ayant passé l'authentification DMARC pour leurs propres domaines frauduleux. Ce détail est essentiel : la vérification DMARC était concluante parce que le domaine frauduleux disposait de ses propres enregistrements valides. Le protocole a fonctionné exactement comme prévu, et pourtant l'attaque de phishing a réussi quand même.
La deuxième faille est l'absence de tout signal de confiance visible par le destinataire. Le DMARC opère entièrement en arrière-plan. Même lorsqu'une entreprise applique le DMARC de manière irréprochable, les destinataires ne voient aucun badge, aucun indicateur, aucune confirmation visuelle de l'authenticité de l'email. Ils n'ont donc aucun moyen de distinguer un email conforme au DMARC d'une usurpation d'identité sophistiquée.
La troisième faille porte sur les chiffres bruts d'adoption. Selon Newswire, le livre blanc affirme que moins de 50 % des entreprises du Fortune 500 ont publié un enregistrement DMARC, et moins de 30 % ont configuré le standard au niveau d'application le plus protecteur.
Pas encore de commentaires. Soyez le premier !
Actualités connexes
Pas encore de commentaires. Soyez le premier !
Actualités connexes
Ce que les données globales révèlent
Le tableau de l'adoption est plus nuancé que ne le suggère le livre blanc, et d'autres recherches récentes méritent d'être examinées en parallèle.
Selon le rapport EasyDMARC 2026 sur l'adoption et l'application du DMARC, l'adoption parmi les Fortune 500 a atteint 475 entreprises sur 500, avec plus de 80 % ayant des politiques au niveau d'application. Ce chiffre contredit celui de TrustNFT, même si l'écart s'explique probablement par la date de collecte des données et la définition retenue pour "enregistrement DMARC valide".
Là où les deux sources convergent, c'est sur le déficit d'application en dehors du Fortune 500. Seules 15,2 % des entreprises de l'Inc. 5000 ont atteint le niveau d'application p=reject, et plus de la moitié se contentent d'une politique de surveillance p=none qui offre une visibilité mais les laisse exposées aux attaques de phishing. Les données à l'échelle des domaines sont encore plus préoccupantes : en décembre 2025, seuls 14,9 % des domaines issus d'un échantillon de 73,3 millions avaient mis en place une politique DMARC, et à peine 2,5 % appliquaient le paramètre le plus strict p=reject, tandis que 83,9 % de l'ensemble des domaines ne présentaient aucun enregistrement DMARC visible, selon le suivi mondial de l'adoption du DMARC par Red Sift.
Comme le souligne EasyDMARC dans son rapport 2026, l'adoption du DMARC s'est généralisée, mais l'adoption seule ne garantit pas la protection. De nombreuses organisations ont mis en place des enregistrements DMARC pour satisfaire des exigences techniques sans pour autant progresser vers des politiques bloquant activement les emails usurpés. En France, le contexte réglementaire du RGPD renforce encore l'obligation de protéger les données des destinataires, ce qui donne à ces lacunes une dimension supplémentaire sur le plan de la conformité.
Pour les email marketers, les conséquences concrètes sont bien réelles. Les recherches de CSC en matière de sécurité des domaines montrent que 80 % des domaines ressemblant à ceux des marques du Global 2000 appartiennent à des tiers, et que 42 % d'entre eux sont configurés pour envoyer des emails. Lorsque des cybercriminels envoient des emails sosies convaincants qui passent leurs propres vérifications DMARC, les destinataires victimes cessent souvent d'interagir avec la vraie marque.
La proposition blockchain
Le livre blanc de TrustNFT inclut une feuille de route d'implémentation en quatre couches couvrant SPF, DKIM, DMARC et la vérification blockchain, ainsi qu'une comparaison technique de ce que chaque couche protège et des vulnérabilités qui subsistent sans la pile complète.
Les recherches de la société indiquent que la mise en place de la pile d'authentification complète combinée à la vérification des domaines ancrée dans la blockchain réduit les attaques d'usurpation réussies jusqu'à 67 % lorsqu'elle est entièrement déployée. TrustNFT Verify permet aux entreprises d'enregistrer leurs domaines d'envoi sur la blockchain via un processus nécessitant l'ajout d'un seul enregistrement DNS, la vérification complète étant généralement finalisée en 48 heures.
Il convient de préciser que TrustNFT est un éditeur qui commercialise un produit. Le chiffre de 67 % provient de ses propres recherches, et le livre blanc est à la fois un argumentaire technique et un outil de promotion commerciale. Une vérification indépendante de cette affirmation n'est pas encore disponible.
Ce que les email marketers doivent retenir
Le DMARC reste un socle incontournable. Le coût moyen d'une violation liée au phishing s'élevait à environ 4,88 millions de dollars en 2025, et les organisations ayant appliqué le DMARC au niveau politique ont réduit la distribution réussie de phishing de 69 % à 14 %, selon le rapport EasyDMARC 2025 sur l'adoption du DMARC. Cela suffit à justifier l'objectif d'atteindre p=reject.
Mais le livre blanc de TrustNFT pointe quelque chose que les marketers négligent souvent : l'authentification est invisible pour les destinataires. Lorsque votre marque est usurpée via un domaine sosie, vos abonnés ne peuvent pas faire la différence, et les dommages réputationnels vous incombent, peu importe la qualité de vos propres enregistrements DNS.
Les priorités immédiates pour toute équipe marketing ou growth sont claires :
Faites évoluer votre politique DMARC de p=none vers p=quarantine ou p=reject
Configurez les rapports agrégés RUA pour identifier les expéditeurs agissant en votre nom
Surveillez les enregistrements de domaines sosies ciblant votre marque
Assurez-vous que chaque plateforme d'envoi tierce (ESP, CRM, emails transactionnels) est correctement incluse dans votre enregistrement SPF et signe avec DKIM
Que la vérification blockchain devienne ou non une couche standard de la pile de confiance email reste à voir. Ce qui est déjà établi, c'est que le DMARC n'a jamais été conçu pour résoudre le problème de l'usurpation de marque à l'échelle de l'écosystème des domaines. Le considérer comme une solution complète expose à la fois vos clients et votre réputation d'expéditeur.
Ce que les données globales révèlent
Le tableau de l'adoption est plus nuancé que ne le suggère le livre blanc, et d'autres recherches récentes méritent d'être examinées en parallèle.
Selon le rapport EasyDMARC 2026 sur l'adoption et l'application du DMARC, l'adoption parmi les Fortune 500 a atteint 475 entreprises sur 500, avec plus de 80 % ayant des politiques au niveau d'application. Ce chiffre contredit celui de TrustNFT, même si l'écart s'explique probablement par la date de collecte des données et la définition retenue pour "enregistrement DMARC valide".
Là où les deux sources convergent, c'est sur le déficit d'application en dehors du Fortune 500. Seules 15,2 % des entreprises de l'Inc. 5000 ont atteint le niveau d'application p=reject, et plus de la moitié se contentent d'une politique de surveillance p=none qui offre une visibilité mais les laisse exposées aux attaques de phishing. Les données à l'échelle des domaines sont encore plus préoccupantes : en décembre 2025, seuls 14,9 % des domaines issus d'un échantillon de 73,3 millions avaient mis en place une politique DMARC, et à peine 2,5 % appliquaient le paramètre le plus strict p=reject, tandis que 83,9 % de l'ensemble des domaines ne présentaient aucun enregistrement DMARC visible, selon le suivi mondial de l'adoption du DMARC par Red Sift.
Comme le souligne EasyDMARC dans son rapport 2026, l'adoption du DMARC s'est généralisée, mais l'adoption seule ne garantit pas la protection. De nombreuses organisations ont mis en place des enregistrements DMARC pour satisfaire des exigences techniques sans pour autant progresser vers des politiques bloquant activement les emails usurpés. En France, le contexte réglementaire du RGPD renforce encore l'obligation de protéger les données des destinataires, ce qui donne à ces lacunes une dimension supplémentaire sur le plan de la conformité.
Pour les email marketers, les conséquences concrètes sont bien réelles. Les recherches de CSC en matière de sécurité des domaines montrent que 80 % des domaines ressemblant à ceux des marques du Global 2000 appartiennent à des tiers, et que 42 % d'entre eux sont configurés pour envoyer des emails. Lorsque des cybercriminels envoient des emails sosies convaincants qui passent leurs propres vérifications DMARC, les destinataires victimes cessent souvent d'interagir avec la vraie marque.
La proposition blockchain
Le livre blanc de TrustNFT inclut une feuille de route d'implémentation en quatre couches couvrant SPF, DKIM, DMARC et la vérification blockchain, ainsi qu'une comparaison technique de ce que chaque couche protège et des vulnérabilités qui subsistent sans la pile complète.
Les recherches de la société indiquent que la mise en place de la pile d'authentification complète combinée à la vérification des domaines ancrée dans la blockchain réduit les attaques d'usurpation réussies jusqu'à 67 % lorsqu'elle est entièrement déployée. TrustNFT Verify permet aux entreprises d'enregistrer leurs domaines d'envoi sur la blockchain via un processus nécessitant l'ajout d'un seul enregistrement DNS, la vérification complète étant généralement finalisée en 48 heures.
Il convient de préciser que TrustNFT est un éditeur qui commercialise un produit. Le chiffre de 67 % provient de ses propres recherches, et le livre blanc est à la fois un argumentaire technique et un outil de promotion commerciale. Une vérification indépendante de cette affirmation n'est pas encore disponible.
Ce que les email marketers doivent retenir
Le DMARC reste un socle incontournable. Le coût moyen d'une violation liée au phishing s'élevait à environ 4,88 millions de dollars en 2025, et les organisations ayant appliqué le DMARC au niveau politique ont réduit la distribution réussie de phishing de 69 % à 14 %, selon le rapport EasyDMARC 2025 sur l'adoption du DMARC. Cela suffit à justifier l'objectif d'atteindre p=reject.
Mais le livre blanc de TrustNFT pointe quelque chose que les marketers négligent souvent : l'authentification est invisible pour les destinataires. Lorsque votre marque est usurpée via un domaine sosie, vos abonnés ne peuvent pas faire la différence, et les dommages réputationnels vous incombent, peu importe la qualité de vos propres enregistrements DNS.
Les priorités immédiates pour toute équipe marketing ou growth sont claires :
Faites évoluer votre politique DMARC de p=none vers p=quarantine ou p=reject
Configurez les rapports agrégés RUA pour identifier les expéditeurs agissant en votre nom
Surveillez les enregistrements de domaines sosies ciblant votre marque
Assurez-vous que chaque plateforme d'envoi tierce (ESP, CRM, emails transactionnels) est correctement incluse dans votre enregistrement SPF et signe avec DKIM
Que la vérification blockchain devienne ou non une couche standard de la pile de confiance email reste à voir. Ce qui est déjà établi, c'est que le DMARC n'a jamais été conçu pour résoudre le problème de l'usurpation de marque à l'échelle de l'écosystème des domaines. Le considérer comme une solution complète expose à la fois vos clients et votre réputation d'expéditeur.
Deliverability8 avr. 2026 6 min
Rapport Mailgun : 18 % des e-mails n'arrivent jamais en boîte de réception
Le rapport Email Impact 2026 de Sinch Mailgun révèle que 18 % des e-mails n'atteignent pas la boîte de réception, en raison de lacunes en délivrabilité et d'une utilisation insuffisante de l'IA. Ce que cela signifie concrètement pour votre chiffre d'affaires.
SSarah Mitchell
Deliverability8 avr. 2026 6 min
Rapport Mailgun : 18 % des e-mails n'arrivent jamais en boîte de réception
Le rapport Email Impact 2026 de Sinch Mailgun révèle que 18 % des e-mails n'atteignent pas la boîte de réception, en raison de lacunes en délivrabilité et d'une utilisation insuffisante de l'IA. Ce que cela signifie concrètement pour votre chiffre d'affaires.
