Étude Spoofhound · 2026-11-08
État des lieux DMARC 2026 — Canada
Plus de trois domaines canadiens sur quatre peuvent être usurpés par courriel.
Spoofhound a analysé le web canadien : 26 451 domaines qui reçoivent des courriels, issus des sites populaires du pays et des entreprises locales cartographiées dans chaque province et territoire, vérifiés avec le même moteur que notre vérification de domaine gratuite.
Vérifiez votre domaine — gratuitLe chiffre clé
Plus de trois domaines canadiens sur quatre qui reçoivent des courriels peuvent être usurpés. Sur 26 451 domaines vérifiés, 20 394 (77,1 %) n'ont aucune politique DMARC appliquée : pas d'enregistrement, surveillance seule, ou enregistrement défectueux. Les systèmes de messagerie destinataires ne reçoivent jamais l'ordre de bloquer les faux envoyés en leur nom.
Trois chiffres racontent l'histoire :
- •22,9 % appliquent DMARC. Le Canada se situe ainsi entre les États-Unis (19,4 %) et le Royaume-Uni (24,5 %), derrière l'Inde (24,9 %), l'Afrique du Sud (34,1 %) et l'Arabie saoudite (45,7 %), mais devant la France (15,7 %).
- •Les petites entreprises canadiennes font jeu égal avec les américaines : 18,6 % contre 18,5 %. Les entreprises de un à trois établissements sont aussi exposées au nord de la frontière qu'au sud.
- •L'écart selon la taille : 18,6 % contre 64,0 %. Les entreprises de dix établissements ou plus appliquent DMARC à 64,0 %, et les sites .ca du top 100 000 à 56,7 %.
Le domaine canadien moyen obtient 33,8 sur 100 au contrôle complet de sécurité des courriels, et 82,6 % ont au moins un problème à corriger.
DMARC sur le web canadien
77 % des domaines canadiens qui reçoivent des courriels peuvent être usurpés
20 394 des 26 451 domaines vérifiés n'ont aucune politique DMARC appliquée.
Aucun enregistrement DMARC
Surveillance seule (p=none)
Enregistrement défectueux ou en double
p=quarantine
p=reject
Rouge : les destinataires ne reçoivent jamais l'ordre de bloquer les faux · Vert : le courrier d'imposteurs est mis en quarantaine ou rejeté.
Quatre domaines canadiens sur dix n'ont aucun enregistrement DMARC (42,3 %), et un tiers en publient un, mais le laissent à p=none (34,3 %). Le groupe en surveillance seule compte le plus commercialement. Ces organisations ont déjà commencé et reçoivent peut-être des rapports, mais se sont arrêtées avant le réglage qui bloque réellement le courrier d'imposteurs. Finir ce travail, c'est exactement ce que fait Spoofhound.
Le reste de la chaîne
| Contrôle | Constat | Domaines |
|---|---|---|
| SPF | Aucun enregistrement : n'importe quel serveur peut envoyer au nom du domaine | 3 370 (12,7 %) |
| SPF | Enregistrement terminé par +all ou ?all : publié, mais autorise tout le monde | 807 (3,1 %) |
| DKIM Microsoft 365 | Les deux sélecteurs de signature cassés : le courrier sortant peut échouer à l'authentification dès aujourd'hui | 96 |
| MTA-STS | Protège le courrier entrant contre l'interception : adopté (dont 106 en mode test seulement) | 216 (0,8 %) |
| TLS-RPT | Signale les échecs de livraison sécurisée : adopté | 298 (1,1 %) |
| BIMI | Logo vérifié dans la boîte de réception : en service | 302 (1,1 %) |
Un domaine canadien sur huit n'a aucun enregistrement SPF, entre l'Inde (11,6 %) et les États-Unis (17,8 %). Sans SPF, une entreprise ne peut pas appliquer DMARC sans bloquer son propre courrier. Les normes plus récentes restent rares : environ 1 domaine sur 100 utilise MTA-STS, TLS-RPT ou BIMI.
Petites entreprises contre grandes entreprises
| Population | Domaines vérifiés | Aucun enregistrement DMARC | Surveillance seule | Appliqué |
|---|---|---|---|---|
| Entreprises canadiennes de 1 à 3 établissements (commerces, bureaux, métiers) | 21 063 | 46,8 % | 34,0 % | 18,6 % |
| Entreprises canadiennes de 4 à 9 établissements | 387 | 10,9 % | 39,5 % | 48,6 % |
| Entreprises canadiennes de 10 établissements ou plus | 292 | 5,8 % | 30,1 % | 64,0 % |
| Sites .ca du top 100 000 | 402 | 10,7 % | 32,3 % | 56,7 % |
La protection augmente régulièrement avec la taille, comme aux États-Unis. Les chaînes et les sites connus ont largement fait le travail : à peine une entreprise sur vingt parmi celles qui comptent dix établissements ou plus n'a pas d'enregistrement DMARC. Les petites entreprises sont à l'opposé : près de la moitié ne publient rien, et 86,4 % ont au moins un problème de sécurité des courriels.
Qui est le plus exposé
Les commerces de proximité protègent moins d'un domaine canadien sur dix
Part des domaines de chaque secteur qui reçoivent des courriels à p=quarantine ou p=reject (domaines vérifiés entre parenthèses).
Fleuristes (244)
Salons de coiffure (651)
Boulangeries (482)
Salons d'esthétique (687)
Magasins de vélos (355)
Garages / réparation auto (586)
Brasseries (245)
Boutiques de cannabis (211)
Opticiens (274)
Boutiques de vêtements (847)
Courtiers immobiliers (294)
Concessionnaires auto (814)
Cabinets d'avocats (418)
Comptables (184)
Bureaux d'entreprise (1 274)
Services financiers (109)
Agents d'assurance (248)
Bureaux gouvernementaux (255)
Sociétés informatiques (171)
Bleu : professions qui manient l'argent des clients · ligne pointillée : moyenne canadienne (22,9 %).
Le portrait ressemble de près à celui des États-Unis. Fleuristes, salons, boulangeries et magasins de vélos protègent tous moins d'un domaine sur dix. Les courtiers immobiliers se situent à 16,7 %, sous la moyenne nationale, alors qu'ils manient des dépôts que vise la fraude à la facture. Les sociétés informatiques arrivent en tête à 45,0 %, et même chez elles, plus de la moitié laissent leur propre nom sans protection.
Méthodologie
Population. 26 451 domaines canadiens qui reçoivent du courriel (enregistrements MX fonctionnels), issus de deux sources :
- les entreprises canadiennes cartographiées sur OpenStreetMap avec leur propre site web, toute extension : 21 742 domaines
- chaque domaine .ca du classement de popularité Tranco top 1 million : 5 353 domaines recevant du courriel
644 domaines figurent dans les deux. Les profils sociaux, annuaires et pages hébergées que l'entreprise ne contrôle pas sont exclus.
Contrôles. Chaque domaine a été analysé par le moteur de Spoofhound, le même que celui de la vérification de domaine gratuite. Il couvre SPF, DKIM (sélecteurs connus des grands fournisseurs de messagerie comme Microsoft, Google, SendGrid, Mailchimp et bien d’autres), DMARC, MTA-STS, TLS-RPT et BIMI. Chaque chiffre reflète une analyse dans les 30 jours précédant le 2026-11-08.
Limites assumées.
- Pas de chiffre distinct pour les seules entreprises. Les domaines gouvernementaux canadiens en .gc.ca et sous les suffixes provinciaux .gov ne représentent que 46 domaines de l'échantillon, et les universités utilisent de simples noms en .ca qu'on ne peut pas distinguer. Le chiffre principal est donc déjà, en pratique, un chiffre d'entreprises.
- Biais d'échantillon. L'échantillon d'entreprises couvre les entreprises cartographiées avec site web, ce qui penche vers les métiers visibles orientés grand public. Les chiffres par secteur reposent sur 100 à 1 300 domaines chacun.
- DKIM. DKIM ne peut être confirmé que présent, jamais absent.
- Ce que signifie « appliqué ». p=quarantine ou p=reject sur le domaine lui-même. Les enregistrements défectueux comptent comme non appliqués, car c'est ainsi que les serveurs destinataires les traitent.
Données © contributeurs OpenStreetMap (ODbL) · liste Tranco du projet de recherche Tranco.
Où se situe votre domaine dans ces chiffres ? Découvrez-le en 30 secondes.
Vérifiez votre domaine — gratuit