Étude Spoofhound · 2026-11-08
État des lieux DMARC 2026 — Espagne
Trois domaines espagnols sur quatre peuvent être usurpés par e-mail.
Spoofhound a analysé le web espagnol : 24 449 domaines qui reçoivent des e-mails, issus des sites populaires du pays et des entreprises locales cartographiées dans chaque région, îles Baléares et Canaries comprises, vérifiés avec le même moteur que notre vérification de domaine gratuite.
Vérifiez votre domaine — gratuitLe chiffre clé
Trois domaines espagnols sur quatre qui reçoivent des e-mails peuvent être usurpés. Sur 24 449 domaines vérifiés, 18 297 (74,8 %) n'ont aucune politique DMARC appliquée : pas d'enregistrement, surveillance seule, ou enregistrement défectueux. Les systèmes de messagerie destinataires ne reçoivent jamais l'ordre de bloquer les faux envoyés en leur nom.
Trois chiffres racontent l'histoire :
- •25,2 % appliquent DMARC. C'est au niveau de l'Inde (24,9 %) et du Royaume-Uni (24,5 %), derrière les Pays-Bas (30,6 %), et loin devant la France (15,7 %) et l'Italie (13,4 %). En ne comptant que les entreprises, l'Espagne est à 25,0 %. Voir comment se situent tous les pays que nous avons mesurés.
- •La plupart des protections s'arrêtent à la quarantaine. Sur les 6 152 domaines espagnols qui appliquent DMARC, deux sur trois (4 182) utilisent p=quarantine, qui envoie les faux dans le dossier spam. Seuls 1 970, soit 8,1 % de l'ensemble des domaines, utilisent p=reject, qui les bloque purement et simplement.
- •L'écart des petites entreprises : 22,4 % contre 55,7 %. Les entreprises espagnoles de un à trois établissements appliquent DMARC à 22,4 %, devant celles du Royaume-Uni (20,1 %) et de la France (13,4 %). Les sites .es espagnols du top 100 000 atteignent 55,7 %.
Le domaine espagnol moyen obtient 34,8 sur 100 au contrôle complet de sécurité e-mail, et 87,1 % ont au moins un problème à corriger.
DMARC sur le web espagnol
75 % des domaines espagnols qui reçoivent des e-mails peuvent être usurpés
18 297 des 24 449 domaines vérifiés n'ont aucune politique DMARC appliquée.
Aucun enregistrement DMARC
Surveillance seule (p=none)
Enregistrement défectueux ou en double
p=quarantine
p=reject
Rouge : les destinataires ne reçoivent jamais l'ordre de bloquer les faux · Vert : le courrier d'imposteurs est mis en quarantaine ou rejeté.
L'Espagne se partage presque à parts égales entre les domaines sans enregistrement DMARC (36,2 %) et ceux qui en publient un, mais le laissent à p=none (38,3 %). Sept sur dix du groupe p=none (6 626) ne demandent pas de rapports DMARC : leur enregistrement ne bloque pas les faux et ne prévient personne de leur existence. Ce sont les rapports qui montrent chaque service qui envoie du courrier au nom d'un domaine. Les lire et finir le travail, c'est exactement ce que fait Spoofhound.
Le reste de la chaîne
| Contrôle | Constat | Domaines |
|---|---|---|
| SPF | Aucun enregistrement : n'importe quel serveur peut envoyer au nom du domaine | 1 209 (4,9 %) |
| SPF | Enregistrement terminé par +all ou ?all : publié, mais autorise tout le monde | 284 (1,2 %) |
| DKIM Microsoft 365 | Les deux sélecteurs de signature cassés : le courrier sortant peut échouer à l'authentification dès aujourd'hui | 44 |
| MTA-STS | Protège le courrier entrant contre l'interception : adopté (dont 41 en mode test seulement) | 82 (0,3 %) |
| TLS-RPT | Signale les échecs de livraison sécurisée : adopté | 136 (0,6 %) |
| BIMI | Logo vérifié dans la boîte de réception : en service | 244 (1,0 %) |
Le SPF est en bonne forme : seuls 4,9 % des domaines espagnols n'en ont pas, moins qu'en Afrique du Sud (5,8 %) et aux Pays-Bas (6,5 %). Les normes plus récentes sont à peine arrivées : environ 1 domaine sur 100 utilise MTA-STS, TLS-RPT ou BIMI.
Petites entreprises contre grandes entreprises
| Population | Domaines vérifiés | Aucun enregistrement DMARC | Surveillance seule | Appliqué |
|---|---|---|---|---|
| Entreprises espagnoles de 1 à 3 établissements (commerces, bureaux, métiers) | 18 479 | 38,8 % | 38,6 % | 22,4 % |
| Entreprises espagnoles de 4 à 9 établissements | 319 | 22,6 % | 40,1 % | 37,3 % |
| Entreprises espagnoles de 10 établissements ou plus | 147 | 15,0 % | 34,7 % | 50,3 % |
| Sites .es espagnols du top 100 000 | 490 | 18,0 % | 26,3 % | 55,7 % |
La protection augmente avec la taille : la moitié des entreprises espagnoles de dix établissements ou plus appliquent DMARC (50,3 %). Les petites entreprises se partagent à parts égales entre absence d'enregistrement (38,8 %) et p=none (38,6 %), et 90,7 % ont au moins un problème de sécurité e-mail.
Qui est le plus exposé
La plupart des secteurs espagnols protègent environ un domaine sur cinq
Part des domaines de chaque secteur qui reçoivent des e-mails à p=quarantine ou p=reject (domaines vérifiés entre parenthèses).
Pâtisseries (173)
Salons d'esthétique (222)
Domaines viticoles (296)
Architectes (178)
Boulangeries (325)
Salons de coiffure (290)
Cabinets d'avocats (350)
Magasins de vélos (375)
Agences immobilières (714)
Concessionnaires auto (268)
Garages / réparation auto (425)
Conseillers fiscaux (115)
Opticiens (193)
Agences de voyages (211)
Magasins de meubles (339)
Boutiques de vêtements (686)
Supermarchés (265)
Agents d'assurance (173)
Bureaux gouvernementaux (313)
Bureaux d'entreprise (1 615)
Sociétés informatiques (266)
Bleu : professions qui manient l'argent des clients · ligne pointillée : moyenne espagnole (25,2 %).
Les secteurs espagnols sont remarquablement homogènes : des pâtisseries aux concessionnaires, presque tous se situent entre 17 % et 25 %. Les professions qui manient de l'argent ne sont pas mieux protégées. Les cabinets d'avocats (19,4 %), les agences immobilières (19,7 %) et les conseillers fiscaux (21,7 %) sont tous sous la moyenne nationale, alors qu'ils gèrent les paiements que vise le courrier d'imposteurs. Les sociétés informatiques arrivent en tête à 44,0 %.
Méthodologie
Population. 24 449 domaines espagnols qui reçoivent des e-mails (enregistrements MX fonctionnels), issus de deux sources :
- les entreprises espagnoles cartographiées sur OpenStreetMap avec leur propre site web, toute extension : 19 265 domaines
- chaque domaine .es du classement de popularité Tranco top 1 million : 5 880 domaines recevant des e-mails
696 domaines figurent dans les deux. Les profils sociaux, annuaires et pages hébergées que l'entreprise ne contrôle pas sont exclus.
Contrôles. Chaque domaine a été analysé par le moteur de Spoofhound, le même que celui de la vérification de domaine gratuite. Il couvre SPF, DKIM (sélecteurs connus des grands fournisseurs de messagerie comme Microsoft, Google, SendGrid, Mailchimp et bien d’autres), DMARC, MTA-STS, TLS-RPT et BIMI. Chaque chiffre reflète une analyse dans les 30 jours précédant le 2026-11-08.
Limites assumées.
- Secteur public. Les domaines de l'État, des régions, des communes et des écoles que nous pouvons identifier (.gob.es, .edu.es, domaines des gouvernements régionaux, noms comportant ayuntamiento ou diputación, et bureaux cartographiés comme administrations) représentent 384 domaines, soit 1,6 % de l'échantillon, et appliquent DMARC à 32,8 %. Sans eux, le chiffre est de 25,0 % : le chiffre principal est donc, en pratique, un chiffre d'entreprises.
- Biais d'échantillon. L'échantillon d'entreprises couvre les entreprises cartographiées avec site web, ce qui penche vers les métiers visibles orientés grand public. Les chiffres par secteur reposent sur 110 à 1 600 domaines chacun.
- DKIM. DKIM ne peut être confirmé que présent, jamais absent.
- Ce que signifie « appliqué ». p=quarantine ou p=reject sur le domaine lui-même. Les enregistrements défectueux comptent comme non appliqués, car c'est ainsi que les serveurs destinataires les traitent.
Données © contributeurs OpenStreetMap (ODbL) · liste Tranco du projet de recherche Tranco.
Où se situe votre domaine dans ces chiffres ? Découvrez-le en 30 secondes.
Vérifiez votre domaine — gratuit