Étude Spoofhound · 2026-10-31
État des lieux DMARC 2026 — Afrique du Sud
Deux domaines sud-africains sur trois peuvent être usurpés par e-mail.
Spoofhound a analysé le web sud-africain : 4 324 domaines qui reçoivent des e-mails, issus des sites populaires du pays et des entreprises locales cartographiées, vérifiés avec le même moteur que notre vérification de domaine gratuite.
Vérifiez votre domaine — gratuitLe chiffre clé
Deux domaines sud-africains sur trois qui reçoivent des e-mails peuvent être usurpés. Sur 4 324 domaines vérifiés, 2 850 (65,9 %) n'ont aucune politique DMARC appliquée : pas d'enregistrement, surveillance seule, ou enregistrement défectueux. Les systèmes de messagerie destinataires ne reçoivent jamais l'ordre de bloquer les faux envoyés en leur nom.
Trois chiffres racontent l'histoire :
- •34,1 % appliquent DMARC. C'est mieux que le Royaume-Uni (24,5 %) et la France (15,7 %), mais derrière l'Arabie saoudite (45,7 %), le marché le plus avancé que Spoofhound ait analysé.
- •L'écart des petites entreprises : 29,0 % contre 58,1 %. Les entreprises sud-africaines de un à trois établissements appliquent DMARC à 29,0 %. Les sites .za du top 100 000 atteignent 58,1 %.
- •Un domaine sur neuf a un enregistrement SPF qui ne bloque rien. 478 domaines (11,1 %) terminent leur SPF par ?all ou +all : ils publient un enregistrement qui laisse encore n'importe quel serveur envoyer en leur nom. C'est plus de cinq fois le taux britannique (2,0 %).
Le domaine sud-africain moyen obtient 38,1 sur 100 au contrôle complet de sécurité e-mail, et 73,0 % ont au moins un problème à corriger.
DMARC sur le web sud-africain
66 % des domaines sud-africains qui reçoivent des e-mails peuvent être usurpés
2 850 des 4 324 domaines vérifiés n'ont aucune politique DMARC appliquée.
Aucun enregistrement DMARC
Surveillance seule (p=none)
Enregistrement défectueux ou en double
p=quarantine
p=reject
Rouge : les destinataires ne reçoivent jamais l'ordre de bloquer les faux · Vert : le courrier d'imposteurs est mis en quarantaine ou rejeté.
L'Afrique du Sud se partage en trois : un tiers des domaines n'a aucun enregistrement DMARC (34,2 %), un tiers en publie un mais le laisse à p=none (31,0 %), et un tiers l'applique. Le groupe en surveillance seule compte le plus commercialement. Ces organisations ont déjà commencé et reçoivent peut-être des rapports, mais se sont arrêtées avant le réglage qui bloque réellement le courrier d'imposteurs. Finir ce travail, c'est exactement ce que fait Spoofhound.
Le reste de la chaîne
| Contrôle | Constat | Domaines |
|---|---|---|
| SPF | Aucun enregistrement : n'importe quel serveur peut envoyer au nom du domaine | 249 (5,8 %) |
| SPF | Enregistrement terminé par +all ou ?all : publié, mais autorise tout le monde | 478 (11,1 %) |
| DKIM Microsoft 365 | Les deux sélecteurs de signature cassés : le courrier sortant peut échouer à l'authentification dès aujourd'hui | 18 |
| MTA-STS | Protège le courrier entrant contre l'interception : adopté (dont 127 en mode test seulement) | 181 (4,2 %) |
| TLS-RPT | Signale les échecs de livraison sécurisée : adopté | 204 (4,7 %) |
| BIMI | Logo vérifié dans la boîte de réception : en service | 75 (1,7 %) |
Le point faible de l'Afrique du Sud, c'est SPF. Moins de domaines qu'au Royaume-Uni n'ont aucun SPF, mais un sur neuf publie un enregistrement terminé par ?all, qui demande aux destinataires de traiter tout expéditeur comme neutre. Sur les normes plus récentes, l'Afrique du Sud devance le Royaume-Uni et la France, même si moins de 5 domaines sur 100 utilisent MTA-STS ou TLS-RPT.
Petites entreprises contre web populaire
| Population | Domaines vérifiés | Aucun enregistrement DMARC | Surveillance seule | Appliqué |
|---|---|---|---|---|
| Entreprises sud-africaines de 1 à 3 établissements (commerces, bureaux, artisans) | 1 987 | 42,6 % | 27,9 % | 29,0 % |
| Sites .za du top 100 000 | 227 | 18,1 % | 22,9 % | 58,1 % |
L'écart a la même forme que dans tous les marchés analysés jusqu'ici. Les grandes organisations visibles ont largement fait le travail, tandis que 77,8 % des petites entreprises ont encore au moins un problème de sécurité e-mail. Plus de quatre sur dix ne publient aucun enregistrement DMARC : elles ne sauraient jamais que leur domaine sert à une fraude.
Qui est le plus exposé
Aucun secteur sud-africain ne protège plus de la moitié de ses domaines
Part des domaines de chaque secteur qui reçoivent des e-mails à p=quarantine ou p=reject (domaines vérifiés entre parenthèses).
Magasins de vélos (31)
Pièces auto (47)
Centres commerciaux (78)
Concessionnaires auto (81)
Domaines viticoles (146)
Quincailleries (37)
Associations (32)
Agents immobiliers (31)
Cabinets d'avocats (34)
Magasins de meubles (31)
Bureaux d'enseignement (31)
Administrations (64)
Magasins de vêtements (75)
Garages / réparation auto (34)
Bureaux d'entreprise (172)
Sociétés informatiques (30)
Bleu : professions qui manient l'argent des clients · ligne pointillée : moyenne sud-africaine (34,1 %).
Les commerces qui vendent au public sont les plus bas : moins d'un magasin de pièces auto ou de vélos sur cinq applique DMARC. Les domaines viticoles, plus grand secteur de l'échantillon avec 146 domaines, atteignent 28,1 %. C'est important, car leurs noms sont connus à l'étranger et leurs clients achètent en ligne et paient par virement, précisément ce qu'exploite la fraude à la facture. Les cabinets d'avocats et les agents immobiliers, qui manient l'argent des clients, sont proches de la moyenne nationale, avec toujours deux sur trois non protégés.
Méthodologie
Population. 4 324 domaines sud-africains qui reçoivent de l'e-mail (enregistrements MX fonctionnels), issus de deux sources :
- chaque domaine .za du classement de popularité Tranco top 1 million : 2 568 domaines recevant de l'e-mail
- les entreprises sud-africaines cartographiées sur OpenStreetMap avec leur propre site web, toute extension : 2 005 domaines
249 domaines figurent dans les deux. Les profils sociaux, annuaires et pages hébergées que l'entreprise ne contrôle pas sont exclus.
Contrôles. Chaque domaine a été analysé par le moteur de Spoofhound, le même que celui de la vérification de domaine gratuite. Il couvre SPF, DKIM (29 sélecteurs courants), DMARC, MTA-STS, TLS-RPT et BIMI. Chaque chiffre reflète une analyse dans les 30 jours précédant le 2026-10-31.
Limites assumées.
- Échantillon plus petit. Bien moins d'entreprises sud-africaines que britanniques indiquent un site web sur OpenStreetMap (2 005 contre 40 599). Les chiffres principaux sont solides ; les chiffres par secteur reposent sur 30 à 170 domaines chacun et sont indicatifs.
- Couverture. L'Afrique du Sud a été importée par carrés de carte, et 176 carrés sur environ 2 150 n'ont pas pu être récupérés auprès des serveurs publics OpenStreetMap, très sollicités. Ils se trouvent dans des zones rurales et des îles, presque aucun dans les grandes villes, et seront réessayés le mois prochain.
- Biais d'échantillon. L'échantillon d'entreprises couvre les entreprises cartographiées avec site web, ce qui penche vers les métiers visibles orientés grand public.
- DKIM. DKIM ne peut être confirmé que présent, jamais absent.
- Ce que signifie « appliqué ». p=quarantine ou p=reject sur le domaine lui-même. Les enregistrements défectueux comptent comme non appliqués, car c'est ainsi que les serveurs destinataires les traitent.
Données © contributeurs OpenStreetMap (ODbL) · liste Tranco du projet de recherche Tranco.
Où se situe votre domaine dans ces chiffres ? Découvrez-le en 30 secondes.
Vérifiez votre domaine — gratuit