Un nouveau livre blanc technique publié le 8 avril 2026 par TrustNFT.io, société de sécurité blockchain basée à Miami, affirme que DMARC (Domain-based Message Authentication, Reporting and Conformance) laisse trois lacunes critiques dans la sécurité email des entreprises qu'aucune configuration ne peut combler. Le document, intitulé « The Authentication Gap: Why DMARC Alone Is Not Enough » (L'écart d'authentification : pourquoi DMARC seul ne suffit pas), s'adresse aux responsables IT, CISO et gestion des risques des entreprises. Il argumente en faveur d'une vérification de domaine ancrée sur la blockchain comme couche de confiance orientée consommateur que la pile d'authentification existante ne peut pas fournir. Pour les responsables marketing et growth qui dépendent de l'email comme canal de revenus, les conclusions ont des implications directes sur la délivrabilité, la confiance dans la marque et le ROI des campagnes.
Les trois lacunes que DMARC ne peut pas combler
La première lacune concerne les attaques par domaines usurpés. DMARC protège uniquement le domaine enregistré exact et n'offre zéro protection contre les emails envoyés depuis des adresses contrefaites que les criminels enregistrent pour usurper les grandes marques. Des chercheurs en sécurité ont confirmé cela indépendamment, notant que même avec une authentification et un renforcement appropriés, DMARC n'est efficace que contre l'usurpation de domaine direct et ne peut pas prévenir les domaines usurpés ou similaires.
Au cours d'une seule période de surveillance de 30 jours, les utilisateurs de TrustNFT Guardian ont signalé du phishing provenant de quatre domaines usurpés distincts ciblant un grand service public, tous passant l'authentification DMARC pour leurs propres domaines frauduleux. Ce détail est important : la vérification DMARC a réussi parce que le domaine frauduleux avait ses propres enregistrements valides. Le protocole a fonctionné exactement comme prévu, pourtant l'attaque de phishing a réussi malgré tout.
La deuxième lacune est l'absence de tout signal de confiance visible pour le consommateur. DMARC fonctionne entièrement en arrière-plan. Même lorsqu'une entreprise dispose d'un renforcement DMARC parfait, les consommateurs ne voient aucun badge, aucun indicateur et aucune confirmation visible que l'email est authentique, ce qui leur laisse aucun moyen de distinguer un email conforme DMARC d'une usurpation sophistiquée.
La troisième lacune concerne les chiffres bruts d'adoption. Selon Newswire, le livre blanc affirme que moins de 50% des entreprises Fortune 500 ont publié un enregistrement DMARC, et moins de 30% ont la norme configurée à son niveau d'application le plus protecteur.
Ce que montrent les données plus larges
Le tableau d'adoption est plus nuancé que ce que suggère le livre blanc, et d'autres recherches récentes méritent d'être comprises en parallèle.
Selon le rapport 2026 EasyDMARC sur l'adoption et l'application de DMARC, l'adoption Fortune 500 a atteint 475 entreprises sur 500, avec plus de 80% disposant de stratégies au niveau du renforcement. Cela contraste avec le chiffre de TrustNFT, bien que la divergence reflète probablement le moment où chaque ensemble de données a été capturé et la façon dont « enregistrement DMARC valide » est défini.
Où les deux sources s'accordent, c'est sur l'écart d'application en dessous de la Fortune 500. Seulement 15,2% des entreprises Inc. 5000 ont atteint le niveau d'application p=reject, et plus de la moitié restent sur une stratégie de surveillance uniquement p=none qui fournit de la visibilité mais les laisse exposées aux attaques de phishing. Les données au niveau du domaine plus larges sont encore plus préoccupantes : en décembre 2025, seulement 14,9% des domaines d'un échantillon de 73,3 millions avaient mis en place une stratégie DMARC, et seulement 2,5% appliquaient le paramètre p=reject le plus strict, avec 83,9% de tous les domaines ne montrant aucun enregistrement DMARC visible, selon le suivi mondial d'adoption DMARC de Red Sift.
Comme le note EasyDMARC dans son rapport 2026, l'adoption de DMARC est devenue généralisée, mais l'adoption seule ne garantit pas la protection. De nombreuses organisations ont mis en place des enregistrements DMARC pour satisfaire aux exigences techniques mais n'ont pas progressé vers des stratégies qui bloquent activement les emails usurpés.
Pour les responsables email marketing, la conséquence pratique est réelle. La recherche sur la sécurité des domaines CSC montre que 80% des domaines ressemblant aux marques Global 2000 sont possédés par des tiers, et 42% de ceux-ci sont configurés pour envoyer des emails. Lorsque les criminels envoient des emails usurpés convaincants qui passent leurs propres vérifications DMARC, les destinataires qui en subissent les conséquences cessent souvent de s'engager complètement avec la vraie marque.
La proposition blockchain
Le livre blanc de TrustNFT inclut une feuille de route d'implémentation à quatre couches couvrant SPF, DKIM, DMARC et la vérification blockchain, ainsi qu'une comparaison technique de ce que chaque couche protège et les vulnérabilités qui restent sans adresse sans la pile complète.
La recherche de l'entreprise indique que la mise en œuvre de la pile d'authentification complète combinée à la vérification de domaine ancrée sur la blockchain réduit les attaques d'usurpation réussies jusqu'à 67% lorsqu'elle est entièrement déployée. TrustNFT Verify permet aux entreprises d'enregistrer leurs domaines d'envoi sur la blockchain via un processus nécessitant l'ajout d'un seul enregistrement DNS, la vérification complète étant généralement effectuée dans les 48 heures.
Il est important de noter que TrustNFT est un fournisseur avec un produit commercial à vendre. Le chiffre de 67% provient de la propre recherche de l'entreprise, et le livre blanc sert à la fois d'argument technique et de pitch produit. La vérification indépendante de cette affirmation n'est pas encore disponible.
Ce que les responsables email marketing devraient retenir
DMARC reste un fondement incontournable. Le coût moyen d'une violation liée au phishing était d'environ 4,88 millions de dollars en 2025, et les organisations américaines qui ont appliqué DMARC au niveau des stratégies ont réduit la livraison réussie de phishing de 69% à 14%, selon le rapport 2025 EasyDMARC sur l'adoption de DMARC. Cela seul justifie d'atteindre p=reject.
Mais le document de TrustNFT met en évidence quelque chose que les responsables marketing oublient souvent : l'authentification est invisible pour les clients. Lorsque votre marque est usurpée via un domaine contrefait, vos abonnés ne peuvent pas faire la différence, et les dégâts réputationnels vous affectent indépendamment de la propreté de vos propres enregistrements DNS.
Les priorités immédiates pour toute équipe marketing ou growth sont claires :
- Faites passer votre stratégie DMARC de
p=noneàp=quarantineoup=reject - Mettez en place la génération de rapports agrégés
RUApour voir qui envoie en votre nom - Surveillez les enregistrements de domaines contrefaits ciblant votre marque
- Assurez-vous que chaque plateforme d'envoi tierce (ESP, CRM, email transactionnel) est correctement incluse dans votre enregistrement
SPFet signe avecDKIM
Que la vérification blockchain devienne une couche ordinaire de la pile de confiance email reste à voir. Ce qui est déjà clair, c'est que DMARC seul n'a jamais été conçu pour résoudre le problème de l'usurpation de marque au niveau de l'écosystème de domaine, et le traiter comme une solution complète laisse vos clients et votre réputation d'expéditeur exposés.
