Le DMARC — Domain-based Message Authentication, Reporting and Conformance — est une politique DNS qui indique aux serveurs de messagerie destinataires comment traiter les messages qui échouent aux vérifications d'authentification. Il peut rejeter ou mettre en quarantaine les emails usurpés, garantissant ainsi que les messages reçus proviennent bien de l'organisation qu'ils prétendent représenter.

Le problème, c'est que publier un enregistrement DMARC n'est pas la même chose que l'appliquer. Beaucoup d'organisations publient des enregistrements DMARC avec une politique p=none — ce qui offre une visibilité sur les tentatives d'usurpation, mais ne bloque pas les emails frauduleux.

Nombreuses sont les organisations qui optent pour un compromis en maintenant le DMARC en mode quarantaine : les messages non authentifiés ne sont pas rejetés, mais redirigés vers les courriers indésirables. Or, les experts préviennent que cette approche n'est pas une véritable protection — les utilisateurs peuvent, et consultent régulièrement, leur dossier spam, en particulier lorsqu'un message semble provenir d'un contact de confiance. Cela maintient un risque persistant de phishing réussi ou de fraude.

Une crise d'authentification généralisée

L'étude sur le Massachusetts n'est pas un cas isolé — elle reflète un problème structurel à l'échelle mondiale. Une analyse du deuxième trimestre 2025 indique que seulement environ 18 % des 10 millions de domaines les plus visités dans le monde publient un enregistrement DMARC valide, et à peine 4 % appliquent pleinement une politique de rejet.

Un écart de maturité évident est apparu : les grandes entreprises progressent vers l'application stricte, tandis que de nombreuses entreprises en forte croissance restent cantonnées au mode surveillance. Même parmi les entreprises du Fortune 500, si 475 entreprises sur 500 ont adopté le DMARC, plus de 80 % avaient atteint des politiques d'application effectives — ce qui signifie que même au plus haut niveau, une entreprise sur cinq n'avait pas encore franchi ce seuil.

Les enjeux financiers sont considérables. Selon Gartner, les paiements liés à la compromission de messagerie professionnelle (BEC) ont dépassé le seuil des 6 milliards de dollars en 2024, et la boîte de réception demeure « la surface d'attaque la plus répandue » car les collaborateurs sont contraints d'échanger avec l'extérieur via des protocoles anciens et peu sécurisés. Par ailleurs, le coût moyen d'une violation liée au phishing a atteint 4,88 millions de dollars en 2025 — des chiffres qui font écho aux tendances observées en Europe, où les entreprises françaises sont également dans le viseur des cybercriminels.

Selon le rapport sur les menaces 2026 de Cloudflare, 46 % de tous les emails échouent à la validation DMARC, ce qui illustre l'ampleur du trafic non authentifié qui transite encore dans les systèmes mondiaux.

Les fournisseurs de messagerie passent à l'action

L'application du DMARC n'est plus une option — elle est désormais imposée par les plateformes qui assurent la distribution des emails. Google, Yahoo (février 2024), Microsoft (mai 2025) et La Poste (septembre 2025) exigent désormais l'authentification SPF, DKIM et DMARC pour les expéditeurs d'emails en masse.

En octobre 2025, Google a mis fin à l'ancienne interface Postmaster Tools et lancé Postmaster Tools v2, en faisant évoluer le critère principal de « Réputation » vers « Statut de conformité », évaluant les expéditeurs selon un modèle binaire — un changement fondamental dans la façon dont Google mesure la santé des expéditeurs. Ce modèle binaire signifie qu'une conformité partielle donne le même résultat qu'une absence totale de conformité : l'échec.

Prester attention : à l'heure où les cybermenaces s'industrialisent grâce à l'IA, les entreprises qui n'ont pas encore déployé une authentification email complète s'exposent à un risque croissant d'usurpation d'identité et d'atteinte à leur image de marque. Ce constat vaut autant pour les organisations américaines que pour les entreprises françaises opérant dans un environnement numérique de plus en plus hostile.

Ce que cela signifie concrètement

Pour les chefs d'entreprise, les équipes marketing et les responsables croissance, les conclusions de Red Sift constituent un avertissement direct en matière de délivrabilité et de protection de la marque.

Les équipes marketing ont longtemps optimisé leurs campagnes autour des taux d'ouverture, des taux de clics et des indicateurs de conversion. Sous le modèle d'application de Google, aucun de ces indicateurs n'a d'importance si votre email n'atteint jamais la boîte de réception.

L'impact opérationnel d'une authentification défaillante est multiple : taux de placement en boîte de réception en baisse, réputation d'expéditeur dégradée, emails bloqués par les principaux serveurs destinataires, et pertes financières directes liées au vol d'identifiants et aux arnaques à la facture.

Bien que l'échantillon du Massachusetts ne couvre qu'une partie des entreprises de cet État, Red Sift souligne que cette étude offre un aperçu révélateur de la posture réelle en matière de sécurité email — et si les plus grandes organisations n'ont pas encore adopté des protections renforcées, il y a fort à parier que les PME, disposant de moins de ressources informatiques, ne l'ont pas fait non plus. Ce raisonnement s'applique tout autant au tissu économique français, largement composé de PME et d'ETI.

La marche à suivre est bien établie : passer de p=none à p=quarantine, puis à p=reject, s'assurer que chaque plateforme d'envoi tierce est authentifiée, et surveiller en continu les rapports agrégés DMARC. Les organisations doivent adopter une sécurité email authentifiée, automatisée et centrée sur l'identité pour protéger leurs domaines, maintenir leur délivrabilité et préserver la confiance de leurs clients. Dans un contexte où le RGPD renforce déjà les exigences en matière de traitement des données personnelles, l'authentification email s'impose comme un complément indispensable à toute stratégie de conformité numérique.

L'écart d'application est mesurable. Les conséquences sont réelles. La solution existe — mais uniquement pour les organisations qui agissent dès maintenant.

Le DMARC — Domain-based Message Authentication, Reporting and Conformance — est une politique DNS qui indique aux serveurs de messagerie destinataires comment traiter les messages qui échouent aux vérifications d'authentification. Il peut rejeter ou mettre en quarantaine les emails usurpés, garantissant ainsi que les messages reçus proviennent bien de l'organisation qu'ils prétendent représenter.

Le problème, c'est que publier un enregistrement DMARC n'est pas la même chose que l'appliquer. Beaucoup d'organisations publient des enregistrements DMARC avec une politique p=none — ce qui offre une visibilité sur les tentatives d'usurpation, mais ne bloque pas les emails frauduleux.

Nombreuses sont les organisations qui optent pour un compromis en maintenant le DMARC en mode quarantaine : les messages non authentifiés ne sont pas rejetés, mais redirigés vers les courriers indésirables. Or, les experts préviennent que cette approche n'est pas une véritable protection — les utilisateurs peuvent, et consultent régulièrement, leur dossier spam, en particulier lorsqu'un message semble provenir d'un contact de confiance. Cela maintient un risque persistant de phishing réussi ou de fraude.

Une crise d'authentification généralisée

L'étude sur le Massachusetts n'est pas un cas isolé — elle reflète un problème structurel à l'échelle mondiale. Une analyse du deuxième trimestre 2025 indique que seulement environ 18 % des 10 millions de domaines les plus visités dans le monde publient un enregistrement DMARC valide, et à peine 4 % appliquent pleinement une politique de rejet.

Un écart de maturité évident est apparu : les grandes entreprises progressent vers l'application stricte, tandis que de nombreuses entreprises en forte croissance restent cantonnées au mode surveillance. Même parmi les entreprises du Fortune 500, si 475 entreprises sur 500 ont adopté le DMARC, plus de 80 % avaient atteint des politiques d'application effectives — ce qui signifie que même au plus haut niveau, une entreprise sur cinq n'avait pas encore franchi ce seuil.

Les enjeux financiers sont considérables. Selon Gartner, les paiements liés à la compromission de messagerie professionnelle (BEC) ont dépassé le seuil des 6 milliards de dollars en 2024, et la boîte de réception demeure « la surface d'attaque la plus répandue » car les collaborateurs sont contraints d'échanger avec l'extérieur via des protocoles anciens et peu sécurisés. Par ailleurs, le coût moyen d'une violation liée au phishing a atteint 4,88 millions de dollars en 2025 — des chiffres qui font écho aux tendances observées en Europe, où les entreprises françaises sont également dans le viseur des cybercriminels.

Selon le rapport sur les menaces 2026 de Cloudflare, 46 % de tous les emails échouent à la validation DMARC, ce qui illustre l'ampleur du trafic non authentifié qui transite encore dans les systèmes mondiaux.

Les fournisseurs de messagerie passent à l'action

L'application du DMARC n'est plus une option — elle est désormais imposée par les plateformes qui assurent la distribution des emails. Google, Yahoo (février 2024), Microsoft (mai 2025) et La Poste (septembre 2025) exigent désormais l'authentification SPF, DKIM et DMARC pour les expéditeurs d'emails en masse.

En octobre 2025, Google a mis fin à l'ancienne interface Postmaster Tools et lancé Postmaster Tools v2, en faisant évoluer le critère principal de « Réputation » vers « Statut de conformité », évaluant les expéditeurs selon un modèle binaire — un changement fondamental dans la façon dont Google mesure la santé des expéditeurs. Ce modèle binaire signifie qu'une conformité partielle donne le même résultat qu'une absence totale de conformité : l'échec.

Prester attention : à l'heure où les cybermenaces s'industrialisent grâce à l'IA, les entreprises qui n'ont pas encore déployé une authentification email complète s'exposent à un risque croissant d'usurpation d'identité et d'atteinte à leur image de marque. Ce constat vaut autant pour les organisations américaines que pour les entreprises françaises opérant dans un environnement numérique de plus en plus hostile.

Ce que cela signifie concrètement

Pour les chefs d'entreprise, les équipes marketing et les responsables croissance, les conclusions de Red Sift constituent un avertissement direct en matière de délivrabilité et de protection de la marque.

Les équipes marketing ont longtemps optimisé leurs campagnes autour des taux d'ouverture, des taux de clics et des indicateurs de conversion. Sous le modèle d'application de Google, aucun de ces indicateurs n'a d'importance si votre email n'atteint jamais la boîte de réception.

L'impact opérationnel d'une authentification défaillante est multiple : taux de placement en boîte de réception en baisse, réputation d'expéditeur dégradée, emails bloqués par les principaux serveurs destinataires, et pertes financières directes liées au vol d'identifiants et aux arnaques à la facture.

Bien que l'échantillon du Massachusetts ne couvre qu'une partie des entreprises de cet État, Red Sift souligne que cette étude offre un aperçu révélateur de la posture réelle en matière de sécurité email — et si les plus grandes organisations n'ont pas encore adopté des protections renforcées, il y a fort à parier que les PME, disposant de moins de ressources informatiques, ne l'ont pas fait non plus. Ce raisonnement s'applique tout autant au tissu économique français, largement composé de PME et d'ETI.

La marche à suivre est bien établie : passer de p=none à p=quarantine, puis à p=reject, s'assurer que chaque plateforme d'envoi tierce est authentifiée, et surveiller en continu les rapports agrégés DMARC. Les organisations doivent adopter une sécurité email authentifiée, automatisée et centrée sur l'identité pour protéger leurs domaines, maintenir leur délivrabilité et préserver la confiance de leurs clients. Dans un contexte où le RGPD renforce déjà les exigences en matière de traitement des données personnelles, l'authentification email s'impose comme un complément indispensable à toute stratégie de conformité numérique.

L'écart d'application est mesurable. Les conséquences sont réelles. La solution existe — mais uniquement pour les organisations qui agissent dès maintenant.