Étude Spoofhound · 2026-11-08
État des lieux DMARC 2026 — Inde
Trois domaines indiens sur quatre peuvent être usurpés par e-mail.
Spoofhound a analysé le web indien : 12 398 domaines qui reçoivent des e-mails, issus des sites populaires du pays et des entreprises locales cartographiées, vérifiés avec le même moteur que notre vérification de domaine gratuite.
Vérifiez votre domaine — gratuitLe chiffre clé
Trois domaines indiens sur quatre qui reçoivent des e-mails peuvent être usurpés. Sur 12 398 domaines vérifiés, 9 316 (75,1 %) n'ont aucune politique DMARC appliquée : pas d'enregistrement, surveillance seule, ou enregistrement défectueux. Les systèmes de messagerie destinataires ne reçoivent jamais l'ordre de bloquer les faux envoyés en leur nom.
Trois chiffres racontent l'histoire :
- •24,9 % appliquent DMARC. C'est au niveau du Royaume-Uni (24,5 %) et mieux que la France (15,7 %), mais derrière l'Afrique du Sud (34,1 %) et l'Arabie saoudite (45,7 %). En ne comptant que les entreprises, l'Inde est à 23,7 %, contre 37,8 % pour l'Arabie saoudite et 33,6 % pour l'Afrique du Sud.
- •L'État ne montre pas l'exemple : 32,3 %. Les domaines publics et universitaires indiens (.gov.in, .nic.in, .ac.in, .edu.in, .res.in) appliquent DMARC à 32,3 %. Le secteur public britannique atteint 74,7 % et l'administration et les universités saoudiennes 82,4 %.
- •L'écart des petites entreprises : 27,7 % contre 48,2 %. Les entreprises indiennes de un à trois établissements appliquent DMARC à 27,7 %. Les sites .in du top 100 000 atteignent 48,2 %.
Le domaine indien moyen obtient 32,8 sur 100 au contrôle complet de sécurité e-mail, et 80,4 % ont au moins un problème à corriger.
DMARC sur le web indien
75 % des domaines indiens qui reçoivent des e-mails peuvent être usurpés
9 316 des 12 398 domaines vérifiés n'ont aucune politique DMARC appliquée.
Aucun enregistrement DMARC
Surveillance seule (p=none)
Enregistrement défectueux ou en double
p=quarantine
p=reject
Rouge : les destinataires ne reçoivent jamais l'ordre de bloquer les faux · Vert : le courrier d'imposteurs est mis en quarantaine ou rejeté.
L'Inde se répartit à peu près comme le Royaume-Uni : quatre domaines sur dix n'ont aucun enregistrement DMARC (39,2 %), un tiers en publie un mais le laisse à p=none (33,9 %), et seulement un quart l'applique. Le groupe en surveillance seule compte le plus commercialement. Ces organisations ont déjà commencé et reçoivent peut-être des rapports, mais se sont arrêtées avant le réglage qui bloque réellement le courrier d'imposteurs. Finir ce travail, c'est exactement ce que fait Spoofhound.
Le reste de la chaîne
| Contrôle | Constat | Domaines |
|---|---|---|
| SPF | Aucun enregistrement : n'importe quel serveur peut envoyer au nom du domaine | 1 443 (11,6 %) |
| SPF | Enregistrement terminé par +all ou ?all : publié, mais autorise tout le monde | 111 (0,9 %) |
| DKIM Microsoft 365 | Les deux sélecteurs de signature cassés : le courrier sortant peut échouer à l'authentification dès aujourd'hui | 34 |
| MTA-STS | Protège le courrier entrant contre l'interception : adopté (dont 15 en mode test seulement) | 36 (0,3 %) |
| TLS-RPT | Signale les échecs de livraison sécurisée : adopté | 64 (0,5 %) |
| BIMI | Logo vérifié dans la boîte de réception : en service | 205 (1,7 %) |
Le point faible de l'Inde, c'est SPF. Un domaine sur neuf ne publie aucun enregistrement SPF, deux fois le taux sud-africain (5,8 %). Les normes plus récentes sont à peine arrivées : moins de 1 domaine sur 100 utilise MTA-STS ou TLS-RPT. BIMI fait mieux que les deux, à 1,7 %, comme en Afrique du Sud.
Petites entreprises contre web populaire
| Population | Domaines vérifiés | Aucun enregistrement DMARC | Surveillance seule | Appliqué |
|---|---|---|---|---|
| Entreprises indiennes de 1 à 3 établissements (commerces, bureaux, artisans) | 3 144 | 40,9 % | 30,0 % | 27,7 % |
| Sites .in du top 100 000 | 782 | 25,1 % | 24,3 % | 48,2 % |
L'écart a la même forme que dans tous les marchés analysés jusqu'ici. Les grandes organisations visibles ont fait davantage le travail, tandis que 77,2 % des petites entreprises ont encore au moins un problème de sécurité e-mail. Quatre sur dix ne publient aucun enregistrement DMARC : elles ne sauraient jamais que leur domaine sert à une fraude.
Qui est le plus exposé
Seuls la finance et les administrations protègent la majorité de leurs domaines indiens
Part des domaines de chaque secteur qui reçoivent des e-mails à p=quarantine ou p=reject (domaines vérifiés entre parenthèses).
Magasins d'informatique (35)
Salons de beauté (50)
Agences de publicité (55)
Agences de voyages (71)
Bureaux d'enseignement (314)
Associations (57)
Supermarchés (88)
Bijouteries (56)
Centres commerciaux (71)
Concessionnaires auto (43)
Magasins de vêtements (179)
Sociétés informatiques (212)
Bureaux d'entreprise (580)
Administrations (116)
Établissements financiers (31)
Bleu : entreprises qui encaissent les paiements clients par virement · ligne pointillée : moyenne indienne (24,9 %).
Les agences de voyages sont près du bas, à 14,1 %, alors qu'elles encaissent de gros paiements par virement, précisément ce qu'exploite la fraude à la facture. Les bureaux d'enseignement forment le plus grand groupe de l'échantillon après les bureaux d'entreprise, et un seul sur six applique DMARC. Les sociétés informatiques, qui vendent de la technologie aux autres, atteignent 34,0 % : mieux que la moyenne, mais deux sur trois laissent encore leur propre nom sans protection.
Méthodologie
Population. 12 398 domaines indiens qui reçoivent de l'e-mail (enregistrements MX fonctionnels), issus de deux sources :
- chaque domaine .in du classement de popularité Tranco top 1 million : 9 398 domaines recevant de l'e-mail
- les entreprises indiennes cartographiées sur OpenStreetMap avec leur propre site web, toute extension : 3 253 domaines
253 domaines figurent dans les deux. Les profils sociaux, annuaires et pages hébergées que l'entreprise ne contrôle pas sont exclus.
Contrôles. Chaque domaine a été analysé par le moteur de Spoofhound, le même que celui de la vérification de domaine gratuite. Il couvre SPF, DKIM (sélecteurs connus des grands fournisseurs de messagerie comme Microsoft, Google, SendGrid, Mailchimp et bien d’autres), DMARC, MTA-STS, TLS-RPT et BIMI. Chaque chiffre reflète une analyse dans les 30 jours précédant le 2026-11-08.
Limites assumées.
- C'est le web populaire, pas la petite entreprise, qui porte le chiffre clé. Contrairement au Royaume-Uni et à l'Afrique du Sud, trois domaines indiens sur quatre de l'échantillon viennent du classement Tranco, et non des entreprises cartographiées. Peu d'entreprises indiennes indiquent un site web sur OpenStreetMap (environ 6 700 contre 40 599 au Royaume-Uni).
- Petits échantillons par secteur. Les chiffres par secteur reposent sur 30 à 580 domaines chacun et doivent être cités comme indicatifs.
- Biais d'échantillon. L'échantillon d'entreprises couvre les entreprises cartographiées avec site web, ce qui penche vers les métiers visibles, urbains et orientés grand public.
- DKIM. DKIM ne peut être confirmé que présent, jamais absent.
- Ce que signifie « appliqué ». p=quarantine ou p=reject sur le domaine lui-même. Les enregistrements défectueux comptent comme non appliqués, car c'est ainsi que les serveurs destinataires les traitent.
Données © contributeurs OpenStreetMap (ODbL) · liste Tranco du projet de recherche Tranco.
Où se situe votre domaine dans ces chiffres ? Découvrez-le en 30 secondes.
Vérifiez votre domaine — gratuit