Étude Spoofhound · 2026-11-09
État des lieux DMARC 2026 — Brésil
Trois domaines brésiliens sur quatre peuvent être usurpés par courriel.
Spoofhound a analysé le web brésilien : 24 186 domaines qui reçoivent des courriels, issus des sites populaires du pays et des entreprises locales et organismes publics cartographiés dans chaque État, vérifiés avec le même moteur que notre vérification de domaine gratuite.
Vérifiez votre domaine — gratuitLe chiffre clé
Trois domaines brésiliens sur quatre qui reçoivent des courriels peuvent être usurpés. Sur 24 186 domaines vérifiés, 18 058 (74,7 %) n'ont aucune politique DMARC appliquée : pas d'enregistrement, surveillance seule, ou enregistrement défectueux. Les systèmes de messagerie destinataires ne reçoivent jamais l'ordre de bloquer les faux envoyés en leur nom.
Trois chiffres racontent l'histoire :
- •25,3 % appliquent DMARC. C'est le niveau de l'Espagne (25,2 %) et de l'Inde (24,9 %), derrière l'Australie (29,3 %) et devant le Royaume-Uni (24,5 %). En ne comptant que les entreprises, le Brésil est à 24,2 %. Voir comment se situent tous les pays que nous avons mesurés.
- •La plupart des protections s'arrêtent à la quarantaine. Sur les 6 128 domaines brésiliens qui appliquent DMARC, deux sur trois (3 946) utilisent p=quarantine, qui envoie les faux dans le dossier spam. Seuls 2 182, soit 9,0 % de l'ensemble des domaines, utilisent p=reject, qui les bloque purement et simplement.
- •L'écart des petites entreprises : 18,6 % contre 51,0 %. Les entreprises brésiliennes de un à trois établissements appliquent DMARC à 18,6 %. Les sites .br du top 100 000 du Brésil atteignent 51,0 %.
Le domaine brésilien moyen obtient 35,2 sur 100 au contrôle complet de sécurité des courriels, et 81,0 % ont au moins un problème à corriger.
DMARC sur le web brésilien
75 % des domaines brésiliens qui reçoivent des courriels sont exposés à l'usurpation
18 058 des 24 186 domaines vérifiés n'ont aucune politique DMARC appliquée.
Aucun enregistrement DMARC
Surveillance seule (p=none)
Enregistrement défectueux ou en double
p=quarantine
p=reject
Rouge : les destinataires ne reçoivent jamais l'ordre de bloquer les faux · Vert : le courrier d'imposteurs est mis en quarantaine ou rejeté.
La surveillance seule est le réglage le plus courant au Brésil : 41,0 % des domaines publient DMARC à p=none, contre 32,2 % sans aucun enregistrement. Un peu plus de la moitié du groupe p=none (5 219) ne demandent pas de rapports DMARC : leur enregistrement ne bloque donc pas les faux et n'en avertit personne. Ce sont les rapports qui montrent chaque service qui envoie du courrier au nom d'un domaine. Les lire et finir le travail, c'est exactement ce que fait Spoofhound.
Le reste de la chaîne
| Contrôle | Constat | Domaines |
|---|---|---|
| SPF | Aucun enregistrement : n'importe quel serveur peut envoyer au nom du domaine | 1 613 (6,7 %) |
| SPF | Enregistrement terminé par +all ou ?all : publié, mais autorise tout le monde | 1 255 (5,2 %) |
| DKIM Microsoft 365 | Les deux sélecteurs de signature cassés : le courrier sortant peut échouer à l'authentification dès aujourd'hui | 49 |
| MTA-STS | Protège le courrier entrant contre l'interception : adopté (dont 42 en mode test seulement) | 90 (0,4 %) |
| TLS-RPT | Signale les échecs de livraison sécurisée : adopté | 160 (0,7 %) |
| BIMI | Logo vérifié dans la boîte de réception : en service | 259 (1,1 %) |
Peu de domaines brésiliens n'ont pas de SPF (6,7 %), mais un sur vingt (5,2 %) publie un enregistrement terminé par +all ou ?all, qui autorise donc n'importe quel serveur : l'une des parts les plus élevées que nous ayons mesurées, bien qu'inférieure à celles de l'Afrique du Sud (11,1 %) et de la France (7,2 %). Les normes plus récentes sont à peine arrivées : environ 1 domaine sur 100 utilise MTA-STS, TLS-RPT ou BIMI.
Petites entreprises contre grandes entreprises
| Population | Domaines vérifiés | Aucun enregistrement DMARC | Surveillance seule | Appliqué |
|---|---|---|---|---|
| Entreprises brésiliennes de 1 à 3 établissements (commerces, bureaux, métiers) | 7 597 | 39,9 % | 40,2 % | 18,6 % |
| Entreprises brésiliennes de 4 à 9 établissements | 191 | 22,0 % | 31,4 % | 45,5 % |
| Entreprises brésiliennes de 10 établissements ou plus | 74 | 8,1 % | 37,8 % | 52,7 % |
| Sites .br du top 100 000 du Brésil | 1 253 | 15,7 % | 32,4 % | 51,0 % |
La protection augmente fortement avec la taille : les entreprises de quatre établissements ou plus appliquent DMARC à plus du double du taux des petites. Les petites entreprises se partagent à parts égales entre aucun enregistrement (39,9 %) et p=none (40,2 %), et 86,4 % ont au moins un problème de sécurité des courriels.
Secteur public contre petites entreprises
Les organismes publics sont une cible évidente pour le courrier d'imposteurs. Nous avons comparé les domaines du secteur public que nous pouvons identifier (domaines en .gov.br, .edu.br, .mil.br, .jus.br, .leg.br et .mp.br, et bureaux cartographiés comme administrations) avec les petites entreprises brésiliennes :
| Population | Domaines | Aucun enregistrement DMARC | Surveillance seule | p=quarantine | p=reject | Appliqué |
|---|---|---|---|---|---|---|
| Domaines du secteur public brésilien que nous pouvons identifier | 1 732 | 28,1 % | 30,7 % | 28,3 % | 12,2 % | 40,5 % |
| Entreprises brésiliennes de 1 à 3 établissements | 7 597 | 39,9 % | 40,2 % | 12,5 % | 6,1 % | 18,6 % |
Les domaines du secteur public sont deux fois plus susceptibles d'appliquer DMARC que les petites entreprises, mais la plupart (58,8 %) n'ont toujours aucun enregistrement ou s'arrêtent à p=none. Ceux qui l'appliquent s'arrêtent surtout à la quarantaine : seuls 12,2 % des domaines du secteur public utilisent p=reject.
Qui est le plus exposé
Les cabinets d'avocats et les agences immobilières sont bien en dessous de la moyenne brésilienne
Part des domaines de chaque secteur qui reçoivent des courriels à p=quarantine ou p=reject (domaines vérifiés entre parenthèses).
Magasins de vélos (83)
Boulangeries (117)
Magasins d'informatique (94)
Garages / réparation auto (155)
Cabinets d'avocats (168)
Quincailleries (226)
Agences immobilières (307)
ONG (144)
Boutiques de vêtements (295)
Magasins de pièces auto (99)
Magasins de meubles (159)
Associations (136)
Centres commerciaux (379)
Comptables (124)
Concessionnaires moto (90)
Concessionnaires auto (349)
Supermarchés (455)
Bureaux d'entreprise (606)
Agences de publicité (83)
Écoles et établissements supérieurs (143)
Sociétés informatiques (263)
Bleu : professions qui manient l'argent des clients · ligne pointillée : moyenne brésilienne (25,3 %).
Les professions qui manient l'argent des clients ne sont pas mieux protégées. Les cabinets d'avocats (12,5 %), les agences immobilières (14,3 %) et les comptables (22,6 %) sont tous sous la moyenne nationale, alors qu'ils traitent les paiements que vise le courrier d'imposteurs. Les magasins de vélos (6,0 %) et les boulangeries (7,7 %) sont les moins protégés ; les sociétés informatiques arrivent en tête à 33,8 %.
Méthodologie
Population. 24 186 domaines brésiliens qui reçoivent du courriel (enregistrements MX fonctionnels), issus de deux sources :
- les entreprises et organismes publics brésiliens cartographiés sur OpenStreetMap avec leur propre site web, toute extension : 8 572 domaines
- chaque domaine .br du classement de popularité Tranco top 1 million : 16 708 domaines recevant du courriel
1 094 domaines figurent dans les deux. Les profils sociaux, annuaires et pages hébergées que l'entreprise ne contrôle pas sont exclus. Les entreprises cartographiées au Brésil mais utilisant le domaine d'un pays voisin sont comptées dans ce pays.
Contrôles. Chaque domaine a été analysé par le moteur de Spoofhound, le même que celui de la vérification de domaine gratuite. Il couvre SPF, DKIM (sélecteurs connus des grands fournisseurs de messagerie comme Microsoft, Google, SendGrid, Mailchimp et bien d’autres), DMARC, MTA-STS, TLS-RPT et BIMI. Chaque chiffre reflète une analyse dans les 30 jours précédant le 2026-11-09.
Limites assumées.
- Secteur public. Les domaines du secteur public que nous pouvons identifier (.gov.br, .edu.br, .mil.br, .jus.br, .leg.br, .mp.br, et bureaux cartographiés comme administrations) représentent 1 732 domaines, 7,2 % de l'échantillon, et appliquent DMARC à 40,5 %. Sans eux, le chiffre est de 24,2 %.
- Biais d'échantillon. Deux domaines sur trois proviennent du classement de popularité, et l'échantillon d'entreprises couvre les entreprises cartographiées avec site web, ce qui penche vers les métiers visibles orientés grand public. Les chiffres par secteur reposent sur 83 à 606 domaines chacun.
- DKIM. DKIM ne peut être confirmé que présent, jamais absent.
- Ce que signifie « appliqué ». p=quarantine ou p=reject sur le domaine lui-même. Les enregistrements défectueux comptent comme non appliqués, car c'est ainsi que les serveurs destinataires les traitent.
Données © contributeurs OpenStreetMap (ODbL) · liste Tranco du projet de recherche Tranco.
Où se situe votre domaine dans ces chiffres ? Découvrez-le en 30 secondes.
Vérifiez votre domaine — gratuit