Étude Spoofhound · 2026-11-09
État des lieux DMARC 2026 — Singapour
Le secteur public singapourien a verrouillé ses domaines. Ses petites entreprises, non.
Spoofhound a analysé le web singapourien : 1 504 domaines qui reçoivent des courriels, issus des sites populaires de Singapour et des entreprises locales et organismes publics cartographiés, vérifiés avec le même moteur que notre vérification de domaine gratuite.
Vérifiez votre domaine — gratuitLe chiffre clé
Six domaines singapouriens sur dix qui reçoivent des courriels peuvent être usurpés. Sur 1 504 domaines vérifiés, 936 (62,2 %) n'ont aucune politique DMARC appliquée : pas d'enregistrement, surveillance seule, ou enregistrement défectueux. Les systèmes de messagerie destinataires ne reçoivent jamais l'ordre de bloquer les faux envoyés en leur nom.
Trois chiffres racontent l'histoire :
- •37,8 % appliquent DMARC, l'un des taux les plus élevés que nous ayons mesurés. C'est derrière l'Arabie saoudite (45,7 %) et devant l'Afrique du Sud (34,1 %) et les Pays-Bas (30,6 %). En ne comptant que les entreprises, Singapour est à 31,9 %. Voir comment se situent tous les pays que nous avons mesurés.
- •Le secteur public : 91,2 % appliqué, 81,1 % à p=reject. 135 des 148 domaines du secteur public que nous pouvons identifier appliquent DMARC, et 120 bloquent purement et simplement les faux. C'est l'une des parts les plus élevées des secteurs publics que nous avons mesurés, devant les 80,7 % de l'administration néerlandaise.
- •Les petites entreprises : 24,8 %. Les entreprises singapouriennes de un à trois établissements appliquent DMARC à 24,8 %, et trois sur quatre (74,7 %) n'ont aucun enregistrement ou s'arrêtent à p=none.
Le domaine singapourien moyen obtient 37,0 sur 100 au contrôle complet de sécurité des courriels, et 71,1 % ont au moins un problème à corriger.
DMARC sur le web singapourien
62 % des domaines singapouriens qui reçoivent des courriels peuvent être usurpés
936 des 1 504 domaines vérifiés n'ont aucune politique DMARC appliquée.
Aucun enregistrement DMARC
Surveillance seule (p=none)
Enregistrement défectueux ou en double
p=quarantine
p=reject
Rouge : les destinataires ne reçoivent jamais l'ordre de bloquer les faux · Vert : le courrier d'imposteurs est mis en quarantaine ou rejeté.
Comme en Arabie saoudite et en Afrique du Sud, p=reject est plus courant que p=quarantine à Singapour : 21,2 % de tous les domaines bloquent purement et simplement les faux. Malgré cela, 62,0 % n'ont toujours aucun enregistrement ou s'arrêtent à p=none, et 259 des 480 domaines à p=none ne demandent pas de rapports DMARC : leur enregistrement ne bloque pas les faux et n'en informe personne. Ce sont les rapports qui montrent chaque service qui envoie du courrier au nom d'un domaine. Les lire et finir le travail, c'est exactement ce que fait Spoofhound.
Le reste de la chaîne
| Contrôle | Constat | Domaines |
|---|---|---|
| SPF | Aucun enregistrement : n'importe quel serveur peut envoyer au nom du domaine | 152 (10,1 %) |
| SPF | Enregistrement terminé par +all ou ?all : publié, mais autorise tout le monde | 24 (1,6 %) |
| DKIM Microsoft 365 | Les deux sélecteurs de signature cassés : le courrier sortant peut échouer à l'authentification dès aujourd'hui | 8 |
| MTA-STS | Protège le courrier entrant contre l'interception : adopté (dont 7 en mode test seulement) | 14 (0,9 %) |
| TLS-RPT | Signale les échecs de livraison sécurisée : adopté | 17 (1,1 %) |
| BIMI | Logo vérifié dans la boîte de réception : en service | 23 (1,5 %) |
Un domaine singapourien sur dix (10,1 %) n'a aucun enregistrement SPF. Les normes plus récentes sont à peine arrivées : environ 1 domaine sur 100 utilise MTA-STS, TLS-RPT ou BIMI.
Petites entreprises contre grandes entreprises
| Population | Domaines vérifiés | Aucun enregistrement DMARC | Surveillance seule | Appliqué |
|---|---|---|---|---|
| Entreprises singapouriennes de 1 à 3 établissements (commerces, bureaux, métiers) | 723 | 36,7 % | 38,0 % | 24,8 % |
| Entreprises singapouriennes de 4 établissements ou plus | 27 | 22,2 % | 25,9 % | 51,9 % |
| Sites .sg de Singapour du top 100 000 | 77 | 11,7 % | 15,6 % | 72,7 % |
Les sites .sg les plus populaires de Singapour appliquent DMARC à 72,7 %, près de trois fois le taux de ses petites entreprises. Les petites entreprises se répartissent à parts égales entre absence d'enregistrement (36,7 %) et p=none (38,0 %), et 82,8 % ont au moins un problème de sécurité des courriels.
Administration contre petites entreprises
Les organismes publics sont une cible évidente pour les courriels d'imposteurs. Nous avons comparé les domaines du secteur public que nous pouvons identifier (domaines .gov.sg et .edu.sg, et bureaux cartographiés comme administrations) aux petites entreprises singapouriennes :
| Population | Domaines | Aucun enregistrement DMARC | Surveillance seule | p=quarantine | p=reject | Appliqué |
|---|---|---|---|---|---|---|
| Domaines singapouriens de l'administration et de l'enseignement | 148 | 1,4 % | 7,4 % | 10,1 % | 81,1 % | 91,2 % |
| Entreprises singapouriennes de 1 à 3 établissements | 723 | 36,7 % | 38,0 % | 15,1 % | 9,7 % | 24,8 % |
C'est l'un des écarts les plus larges entre administration et petites entreprises que nous avons mesurés. Neuf domaines du secteur public sur dix appliquent DMARC, et huit sur dix utilisent p=reject, contre 43,0 % pour l'administration néerlandaise. Seuls 13 sur 148 n'ont aucun enregistrement ou s'arrêtent à p=none. Une petite entreprise singapourienne applique DMARC à peine un quart aussi souvent, et il est presque quatre fois plus probable qu'elle n'ait aucun enregistrement que qu'elle bloque purement et simplement les faux.
Méthodologie
Population. 1 504 domaines singapouriens qui reçoivent du courriel (enregistrements MX fonctionnels), issus de deux sources :
- les entreprises et organismes publics singapouriens cartographiés sur OpenStreetMap avec leur propre site web, toute extension : 807 domaines
- chaque domaine .sg du classement de popularité Tranco top 1 million : 792 domaines recevant du courriel
95 domaines figurent dans les deux. Les profils sociaux, annuaires et pages hébergées que l'entreprise ne contrôle pas sont exclus. Les entreprises cartographiées à Singapour mais utilisant un domaine malaisien ou indonésien (.my, .id) sont comptées dans ce pays.
Contrôles. Chaque domaine a été analysé par le moteur de Spoofhound, le même que celui de la vérification de domaine gratuite. Il couvre SPF, DKIM (sélecteurs connus des grands fournisseurs de messagerie comme Microsoft, Google, SendGrid, Mailchimp et bien d’autres), DMARC, MTA-STS, TLS-RPT et BIMI. Chaque chiffre reflète une analyse dans les 30 jours précédant le 2026-11-09.
Limites assumées.
- Secteur public. Les domaines de l'administration et de l'enseignement que nous pouvons identifier (.gov.sg, .edu.sg et bureaux cartographiés comme administrations) représentent 148 domaines, soit 9,8 % de l'échantillon, et appliquent DMARC à 91,2 %. Sans eux, le chiffre est de 31,9 %.
- Taille de l'échantillon. Singapour est petit, et son échantillon aussi : 1 504 domaines, dont 750 entreprises cartographiées. C'est trop peu pour une ventilation par secteur, et les groupes de quatre établissements ou plus et les sites les mieux classés reposent chacun sur moins de 80 domaines.
- DKIM. DKIM ne peut être confirmé que présent, jamais absent.
- Ce que signifie « appliqué ». p=quarantine ou p=reject sur le domaine lui-même. Les enregistrements défectueux comptent comme non appliqués, car c'est ainsi que les serveurs destinataires les traitent.
Données © contributeurs OpenStreetMap (ODbL) · liste Tranco du projet de recherche Tranco.
Où se situe votre domaine dans ces chiffres ? Découvrez-le en 30 secondes.
Vérifiez votre domaine — gratuit