Étude Spoofhound · 2026-11-10
État des lieux DMARC 2026 — Allemagne
Près de trois domaines allemands sur quatre peuvent être usurpés par e-mail.
Spoofhound a analysé le web allemand : 199 513 domaines recevant de l'e-mail, parmi les entreprises et organismes publics cartographiés en Allemagne et ses sites web populaires, vérifiés avec le même moteur que notre vérification de domaine gratuite.
Vérifiez votre domaine — gratuitLe chiffre clé
Près de trois domaines allemands sur quatre recevant de l'e-mail peuvent être usurpés. Sur 199 513 domaines vérifiés, 144 813 (72,6 %) n'ont aucune politique DMARC appliquée : aucun enregistrement, surveillance seule, ou enregistrement défectueux. Les systèmes de messagerie destinataires ne reçoivent jamais l'instruction de bloquer les faux envoyés en leur nom.
Trois chiffres racontent l'histoire :
- •27,4 % appliquent DMARC. C'est plus que le Royaume-Uni (24,5 %) et la France (15,7 %), et moins que les Pays-Bas (30,6 %) et le Danemark (39,0 %). Voir comment se situent tous les pays que nous avons mesurés.
- •L'écart des petites entreprises : 26,3 % contre 45,1 %. Les entreprises allemandes de une à trois implantations appliquent DMARC à 26,3 %. Les sites .de allemands classés dans le top 100 000 mondial atteignent 45,1 %.
- •Les professions qui manient l'argent sont dans la moyenne. Cabinets d'avocats (27,8 %), notaires (27,7 %), agents immobiliers (26,6 %) et conseillers fiscaux (25,2 %) ne sont pas mieux protégés que l'ensemble des entreprises allemandes, alors qu'ils traitent les paiements que visent les faux e-mails.
Le domaine allemand moyen obtient 28,5 sur 100 à la vérification complète de sécurité e-mail, et 91,3 % ont au moins un problème à corriger.
DMARC sur le web allemand
73 % des domaines allemands recevant de l'e-mail sont exposés à l'usurpation
144 813 des 199 513 domaines vérifiés n'ont aucune politique DMARC appliquée.
Aucun enregistrement DMARC
Surveillance seule (p=none)
Enregistrement défectueux ou en double
p=quarantine
p=reject
Rouge : les destinataires ne reçoivent jamais l'instruction de bloquer les faux · Vert : les e-mails d'usurpateurs sont mis en quarantaine ou rejetés.
Les domaines allemands se partagent entre aucun enregistrement DMARC (38,5 %) et p=none (33,9 %). Sur les 67 734 en p=none, 53 127 (78,4 %) ne demandent pas de rapports DMARC : leur enregistrement ne bloque pas les faux et n'en avertit personne. Ceux qui appliquent vont le plus souvent jusqu'au bout : p=reject (18,2 %) est deux fois plus courant que p=quarantine (9,2 %). Ce sont les rapports qui montrent chaque service envoyant du courrier au nom d'un domaine. Les lire et terminer le travail, c'est exactement ce que fait Spoofhound.
Le reste de la chaîne
| Contrôle | Constat | Domaines |
|---|---|---|
| SPF | Aucun enregistrement : n'importe quel serveur peut envoyer au nom du domaine | 32 449 (16,3 %) |
| SPF | L'enregistrement se termine par +all ou ?all : publié, mais autorise tout le monde | 5 815 (2,9 %) |
| DKIM Microsoft 365 | Les deux sélecteurs de signature défectueux : le courrier sortant peut échouer à l'authentification dès aujourd'hui | 411 |
| MTA-STS | Protège le courrier entrant contre l'interception : adopté (dont 347 en mode test uniquement) | 1 581 (0,8 %) |
| TLS-RPT | Signale les échecs de livraison sécurisée : adopté | 1 792 (0,9 %) |
| BIMI | Logo vérifié dans la boîte de réception : actif | 1 217 (0,6 %) |
Un domaine allemand sur six (16,3 %) n'a aucun enregistrement SPF, proche des États-Unis (17,8 %). Sans SPF, une entreprise ne peut pas atteindre l'application de DMARC sans casser son propre courrier. Les normes plus récentes sont à peine arrivées : moins d'un domaine sur 100 utilise MTA-STS, TLS-RPT ou BIMI.
Petites entreprises contre plus grandes
| Population | Domaines vérifiés | Aucun enregistrement DMARC | Surveillance seule | Appliqué |
|---|---|---|---|---|
| Entreprises allemandes de 1 à 3 implantations (commerces, bureaux, artisans) | 169 234 | 39,4 % | 34,2 % | 26,3 % |
| Entreprises allemandes de 4 à 9 implantations | 2 376 | 31,7 % | 35,0 % | 33,2 % |
| Entreprises allemandes de 10 implantations ou plus | 1 090 | 22,2 % | 37,4 % | 40,2 % |
| Sites .de allemands classés dans le top 100 000 mondial | 2 045 | 20,7 % | 33,9 % | 45,1 % |
La protection augmente avec la taille, mais moins nettement qu'aux États-Unis : les entreprises allemandes de dix implantations ou plus atteignent 40,2 %, contre 62,1 % aux États-Unis. Les petites entreprises forment l'essentiel de l'échantillon, et 93,2 % d'entre elles ont au moins un problème de sécurité e-mail. Ce sont elles que la fraude aux fausses factures frappe le plus durement, faute d'équipe de sécurité pour la repérer.
Administrations contre petites entreprises
Les organismes publics sont une cible évidente pour les faux e-mails. Nous avons comparé les domaines publics que nous pouvons identifier (bureaux cartographiés comme administration sur OpenStreetMap) aux petites entreprises allemandes :
| Population | Domaines | Aucun enregistrement DMARC | Surveillance seule | p=quarantine | p=reject | Appliqué |
|---|---|---|---|---|---|---|
| Administrations allemandes | 1 350 | 39,4 % | 26,4 % | 15,9 % | 18,1 % | 34,1 % |
| Entreprises allemandes de 1 à 3 implantations | 169 234 | 39,4 % | 34,2 % | 8,1 % | 18,2 % | 26,3 % |
Les organismes publics allemands font mieux que les petites entreprises (34,1 % contre 26,3 %), mais tout autant n'ont aucun enregistrement DMARC (39,4 %). Chez le voisin néerlandais, les domaines publics appliquent DMARC à 80,7 %, plus du double du taux allemand.
Qui est le plus exposé
Les professions allemandes qui manient l'argent des clients ne sont pas mieux protégées que la moyenne
Part des domaines recevant de l'e-mail de chaque secteur en p=quarantine ou p=reject (domaines vérifiés entre parenthèses).
Bureaux d'Églises et cultes (948)
Librairies (1 325)
Boucheries (2 448)
Coiffeurs (6 192)
Boulangeries (3 133)
Opticiens (2 628)
Magasins de vêtements (4 674)
Fleuristes (2 057)
Conseillers fiscaux (1 636)
Magasins de vélos (3 626)
Concessionnaires auto (4 721)
Agents immobiliers (2 162)
Conseillers financiers (184)
Comptables (281)
Notaires (267)
Cabinets d'avocats (3 254)
Garages (5 996)
Agents d'assurance (793)
Bureaux d'entreprise (20 255)
Services financiers (130)
Magasins d'informatique (1 097)
Fournisseurs d'énergie (228)
Entreprises informatiques (3 470)
Bleu : professions qui manient l'argent des clients · ligne pointillée : moyenne allemande (27,4 %).
Conseillers fiscaux (25,2 %), agents immobiliers (26,6 %), notaires (27,7 %) et cabinets d'avocats (27,8 %) sont tous proches de la moyenne allemande, alors qu'ils traitent les acomptes, honoraires et paiements d'achat que visent les faux e-mails. Aux Pays-Bas, les notaires sont en tête avec 52,3 %. Agents d'assurance (32,3 %) et services financiers (34,6 %) font un peu mieux. Les commerces se situent juste au-dessus d'un sur cinq, et les bureaux d'Églises et cultes ferment la marche avec 18,5 %. Les entreprises informatiques sont en tête avec 43,6 %.
Méthodologie
Population. 199 513 domaines allemands qui reçoivent de l'e-mail (ils publient des enregistrements MX fonctionnels). Ils proviennent de deux sources :
- entreprises et organisations allemandes cartographiées sur OpenStreetMap avec leur propre site web, quelle que soit l'extension : 174 048 domaines
- chaque domaine .de du classement de popularité Tranco top 1 million : 30 449 domaines recevant de l'e-mail
4 984 domaines figurent dans les deux. Les profils sociaux, annuaires et pages hébergées que l'entreprise ne contrôle pas sont exclus.
Contrôles. Chaque domaine a été analysé par le moteur de Spoofhound, le même que celui de la vérification de domaine gratuite. Il couvre SPF, DKIM (sélecteurs connus des grands fournisseurs de messagerie Microsoft, Google, SendGrid, Mailchimp et d'autres), DMARC, MTA-STS, TLS-RPT et BIMI. Chaque chiffre reflète une analyse dans les 30 jours précédant le 2026-11-10.
Limites assumées.
- Domaines publics. Les 1 350 domaines publics sont des bureaux cartographiés comme administration sur OpenStreetMap. Les organismes publics allemands utilisent des noms .de ordinaires, sans extension réservée permettant de les repérer : c'est donc un échantillon de l'administration, pas sa totalité. Ils représentent 0,7 % du total, donc le chiffre clé est en pratique un chiffre d'entreprises (27,4 % sans eux aussi).
- Biais d'échantillon. L'échantillon d'entreprises couvre celles cartographiées avec un site web, ce qui penche vers les métiers visibles et tournés vers le public. Les chiffres sectoriels reposent sur 130 à 20 255 domaines chacun.
- DKIM. DKIM ne peut être confirmé que présent, jamais absent.
- Ce que signifie « appliqué ». p=quarantine ou p=reject sur le domaine lui-même. Les enregistrements défectueux comptent comme non appliqués, car c'est ainsi que les serveurs destinataires les traitent.
Données © contributeurs OpenStreetMap (ODbL) · Liste Tranco du projet de recherche Tranco.
Où se situe votre domaine dans ces chiffres ? Découvrez-le en 30 secondes.
Vérifiez votre domaine — gratuit