État des lieux DMARC 2026 — Pays-Bas

Le chiffre clé

Plus de deux domaines néerlandais sur trois recevant de l'e-mail peuvent être usurpés. Sur 43 453 domaines vérifiés, 30 166 (69,4 %) n'ont aucune politique DMARC appliquée : aucun enregistrement, surveillance seule, ou enregistrement défectueux. Les systèmes de messagerie destinataires ne reçoivent jamais l'instruction de bloquer les faux envoyés en leur nom.

Trois chiffres racontent l'histoire :

•30,6 % appliquent DMARC. C'est moins que l'Arabie saoudite (45,7 %) et l'Afrique du Sud (34,1 %), et plus que le Royaume-Uni (24,5 %). En ne comptant que les entreprises, les Pays-Bas sont à 30,2 %. Voir comment se situent tous les pays que nous avons mesurés.
•Le secteur public donne le rythme : 80,7 % contre 27,5 %. Les domaines publics néerlandais que nous pouvons identifier appliquent DMARC à 80,7 %. Les entreprises néerlandaises de une à trois implantations atteignent 27,5 %.
•Quatre sur dix s'arrêtent à p=none : 42,1 %. L'Italie compte un groupe plus large en surveillance seule : 54,9 %. Deux de ces domaines néerlandais sur trois (12 074) ne demandent même pas de rapports DMARC : leur enregistrement ne bloque pas les faux et n'en avertit personne.

Le domaine néerlandais moyen obtient 38,1 sur 100 au contrôle complet de sécurité e-mail, et 84,0 % ont au moins un problème à corriger.

DMARC sur le web néerlandais

69 % des domaines néerlandais recevant de l'e-mail sont exposés à l'usurpation

30 166 des 43 453 domaines vérifiés n'ont aucune politique DMARC appliquée.

Aucun enregistrement DMARC

11 566 · 26,6 %

Surveillance seule (p=none)

18 309 · 42,1 %

Enregistrement défectueux ou en double

291 · 0,7 %

p=quarantine

6 904 · 15,9 %

p=reject

6 383 · 14,7 %

Rouge : les destinataires ne reçoivent jamais l'ordre de bloquer les faux · Vert : le courrier d'imposteurs est mis en quarantaine ou rejeté.

Analyse Spoofhound de 43 453 domaines néerlandais recevant de l'e-mail, vérifiés dans les 30 jours précédant le 2026-11-08.

La plupart des domaines néerlandais ont fait un premier pas : seul un quart n'a aucun enregistrement DMARC (26,6 %). Le groupe le plus important en publie un mais le laisse en p=none (42,1 %). Ces organisations sont à un petit pas de la protection, mais ce pas exige les rapports DMARC qui montrent chaque service envoyant du courrier en leur nom. Lire ces rapports et finir le travail, c'est exactement ce que fait Spoofhound.

Le reste de la chaîne

Contrôle	Constat	Domaines
SPF	Aucun enregistrement : n'importe quel serveur peut envoyer au nom du domaine	2 810 (6,5 %)
SPF	L'enregistrement se termine par +all ou ?all : publié, mais autorise tout le monde	832 (1,9 %)
DKIM Microsoft 365	Les deux sélecteurs de signature sont cassés : le courrier sortant peut échouer à l'authentification dès aujourd'hui	183
MTA-STS	Protège le courrier entrant contre l'interception : adopté (dont 158 en mode test seulement)	395 (0,9 %)
TLS-RPT	Signale les échecs de livraison sécurisée : adopté	645 (1,5 %)
BIMI	Logo vérifié dans la boîte de réception : actif	457 (1,1 %)

Les bases sont en grande partie en place : seuls 6,5 % des domaines néerlandais n'ont aucun enregistrement SPF. Les normes plus récentes restent rares : moins de 2 domaines sur 100 utilisent MTA-STS, TLS-RPT ou BIMI.

Petites entreprises contre grandes entreprises

Population	Domaines vérifiés	Aucun enregistrement DMARC	Surveillance seule	Appliqué
Entreprises néerlandaises de 1 à 3 implantations (commerces, cabinets, artisans)	33 220	28,7 %	43,1 %	27,5 %
Entreprises néerlandaises de 4 à 9 implantations	462	11,7 %	44,6 %	43,3 %
Entreprises néerlandaises de 10 implantations ou plus	187	8,6 %	30,5 %	60,4 %
Sites .nl du top 100 000 aux Pays-Bas	606	12,4 %	22,3 %	65,3 %

La protection augmente avec la taille. Les chaînes et les sites .nl les plus connus ont largement fait le travail, tandis que 88,0 % des petites entreprises ont encore au moins un problème de sécurité e-mail. Chez les petites entreprises, l'écart tient moins à l'absence d'enregistrement qu'aux enregistrements laissés en p=none : 43,1 % des petites entreprises en sont là.

Secteur public contre petites entreprises

Les administrations néerlandaises se sont engagées à protéger leurs domaines avec DMARC. La norme figure sur la liste « appliquer ou expliquer » du Forum Standaardisatie, et un accord couvrant l'ensemble de l'administration a fixé la fin de 2019 comme échéance pour une politique stricte. Le Forum considère p=quarantine ou p=reject comme stricts, avec p=reject comme objectif final. Les données montrent que la plupart des domaines publics ont suivi, mais pas jusqu'au bout :

Population	Domaines	Aucun enregistrement DMARC	Surveillance seule	p=quarantine	p=reject	Appliqué
Domaines publics néerlandais que nous pouvons identifier	305	7,2 %	11,8 %	37,7 %	43,0 %	80,7 %
Entreprises néerlandaises de 1 à 3 implantations	33 220	28,7 %	43,1 %	14,3 %	13,1 %	27,5 %

Les domaines publics sont trois fois plus susceptibles d'appliquer DMARC que les petites entreprises. Quatre sur cinq respectent l'accord sur la politique stricte, mais moins de la moitié (43,0 %) ont atteint p=reject, et un sur cinq (19,0 %) n'a toujours aucun enregistrement ou s'arrête à p=none, sept ans après l'échéance. Les petites entreprises n'ont aucun accord de ce type derrière elles, et cela se voit : 71,8 % n'ont aucun enregistrement ou s'arrêtent à p=none.

Qui est le plus exposé

Les agences immobilières sont le secteur néerlandais le moins protégé

Part des domaines de chaque secteur recevant de l'e-mail en p=quarantine ou p=reject (domaines vérifiés entre parenthèses).

Agences immobilières (656)

17,4 %

Fleuristes (598)

18,6 %

Boulangeries (656)

19,8 %

Magasins de vélos (1 232)

21,0 %

Magasins de vêtements (2 021)

21,4 %

Garages / réparation auto (1 120)

22,5 %

Coiffeurs (1 926)

22,7 %

Instituts de beauté (795)

22,8 %

Bijoutiers (454)

23,8 %

Concessionnaires auto (1 014)

25,2 %

Magasins de meubles (533)

26,8 %

Magasins d'informatique (220)

33,6 %

Conseillers financiers (118)

33,9 %

Cabinets d'avocats (258)

36,4 %

Experts-comptables (163)

38,7 %

Agents d'assurance (106)

43,4 %

Bureaux d'entreprises (4 368)

43,9 %

Bureaux d'enseignement (408)

44,9 %

Services financiers (102)

46,1 %

Notaires (111)

52,3 %

Sociétés informatiques (483)

56,9 %

Bleu : professions qui manient l'argent des clients · ligne pointillée : moyenne néerlandaise (30,6 %).

Entreprises néerlandaises cartographiées sur OpenStreetMap, secteurs retenus avec 100 domaines vérifiés ou plus ; analyse Spoofhound au 2026-11-08. Les bureaux publics sont traités dans la section ci-dessus.

Les agences immobilières arrivent en dernier à 17,4 %, alors qu'elles manient les acomptes et les paiements d'achat que vise l'e-mail d'imposteurs. Les autres professions qui manient de l'argent font mieux : les notaires mènent ce groupe à 52,3 %, et les cabinets d'avocats et les experts-comptables se situent entre 36 % et 39 %. Les commerces de proximité tournent autour d'un sur cinq. Les sociétés informatiques arrivent en tête à 56,9 %.

Méthodologie

Population. 43 453 domaines néerlandais qui reçoivent de l'e-mail (enregistrements MX fonctionnels), issus de deux sources :

les entreprises et organisations néerlandaises cartographiées sur OpenStreetMap avec leur propre site web, toute extension : 34 169 domaines
chaque domaine .nl du classement de popularité Tranco top 1 million : 10 777 domaines recevant de l'e-mail

1 493 domaines figurent dans les deux. Les profils sociaux, annuaires et pages hébergées que l'entreprise ne contrôle pas sont exclus.

Contrôles. Chaque domaine a été analysé par le moteur de Spoofhound, le même que celui de la vérification de domaine gratuite. Il couvre SPF, DKIM (sélecteurs connus des grands fournisseurs de messagerie comme Microsoft, Google, SendGrid, Mailchimp et bien d’autres), DMARC, MTA-STS, TLS-RPT et BIMI. Chaque chiffre reflète une analyse dans les 30 jours précédant le 2026-11-08.

Limites assumées.

Domaines publics. Les 305 domaines publics sont ceux que nous pouvons identifier : les bureaux cartographiés comme administration sur OpenStreetMap, et les domaines dont le nom désigne une overheid, gemeente, provincie ou waterschap. Beaucoup de communes et de ministères utilisent de simples noms en .nl : il s'agit donc d'un échantillon du secteur public, pas de sa totalité. Il représente 0,7 % du total, si bien que le chiffre principal est en pratique un chiffre d'entreprises (30,2 % sans lui).
Biais d'échantillon. L'échantillon d'entreprises couvre les entreprises cartographiées avec site web, ce qui penche vers les métiers visibles orientés grand public. Les chiffres par secteur reposent sur 100 à 4 400 domaines chacun.
DKIM. DKIM ne peut être confirmé que présent, jamais absent.
Ce que signifie « appliqué ». p=quarantine ou p=reject sur le domaine lui-même. Les enregistrements défectueux comptent comme non appliqués, car c'est ainsi que les serveurs destinataires les traitent.

Où se situe votre domaine dans ces chiffres ? Découvrez-le en 30 secondes.

Vérifiez votre domaine — gratuit