Étude Spoofhound · 2026-11-09
État des lieux DMARC 2026 — Turquie
Le secteur public turc a une nette avance sur les petites entreprises du pays. Sept domaines turcs sur dix peuvent encore être usurpés par e-mail.
Spoofhound a analysé le web turc : 5 646 domaines recevant de l'e-mail, parmi les sites populaires de Turquie et les entreprises locales et organismes publics cartographiés, vérifiés avec le même moteur que notre vérification de domaine gratuite.
Vérifiez votre domaine — gratuitLe chiffre clé
Sept domaines turcs sur dix recevant de l'e-mail peuvent être usurpés. Sur 5 646 domaines vérifiés, 3 894 (69,0 %) n'ont aucune politique DMARC appliquée : aucun enregistrement, surveillance seule, ou enregistrement défectueux. Les systèmes de messagerie destinataires ne reçoivent jamais l'instruction de bloquer les faux envoyés en leur nom.
Trois chiffres racontent l'histoire :
- •31,0 % appliquent DMARC. C'est derrière l'Afrique du Sud (34,1 %) et juste devant les Pays-Bas (30,6 %). En ne comptant que les entreprises, la Turquie est à 28,3 %. Voyez comment se situent tous les pays que nous avons mesurés.
- •Le secteur public : 52,3 %. Plus de la moitié des 644 domaines de l'administration, de l'enseignement et des municipalités que nous pouvons identifier appliquent DMARC, plus de deux fois le taux des petites entreprises turques (23,4 %). Les domaines municipaux .bel.tr atteignent 62,3 %.
- •Cabinets d'avocats : 10,3 %. Les professions qui manient l'argent des clients sont parmi les moins protégées : les cabinets d'avocats appliquent DMARC à 10,3 % et les agences de voyages à 11,8 %, environ un tiers du taux national.
Le domaine turc moyen obtient 34,4 sur 100 au contrôle complet de sécurité e-mail, et 78,1 % ont au moins un problème à corriger.
DMARC sur le web turc
69 % des domaines turcs recevant de l'e-mail sont exposés à l'usurpation
3 894 des 5 646 domaines vérifiés n'ont aucune politique DMARC appliquée.
Aucun enregistrement DMARC
Surveillance seule (p=none)
Enregistrement défectueux ou en double
p=quarantine
p=reject
Rouge : les destinataires ne reçoivent jamais l'ordre de bloquer les faux · Vert : le courrier d'imposteurs est mis en quarantaine ou rejeté.
Le groupe le plus important de domaines turcs (38,4 %) n'a aucun enregistrement DMARC. Quand les domaines turcs appliquent, deux sur trois s'arrêtent à p=quarantine : 20,7 % de tous les domaines, l'une des parts les plus élevées que nous ayons mesurées, contre 10,3 % en p=reject. Sur les 1 676 domaines en p=none, 828 ne demandent pas de rapports DMARC : leur enregistrement ne bloque pas les faux et n'en informe personne. Ce sont les rapports qui montrent chaque service qui envoie du courrier au nom d'un domaine. Les lire et finir le travail, c'est exactement ce que fait Spoofhound.
Le reste de la chaîne
| Contrôle | Constat | Domaines |
|---|---|---|
| SPF | Aucun enregistrement : n'importe quel serveur peut envoyer au nom du domaine | 271 (4,8 %) |
| SPF | Enregistrement terminé par +all ou ?all : publié, mais autorise tout le monde | 73 (1,3 %) |
| DKIM Microsoft 365 | Les deux sélecteurs de signature cassés : le courrier sortant peut échouer à l'authentification dès aujourd'hui | 10 |
| MTA-STS | Protège le courrier entrant contre l'interception : adopté (dont 12 en mode test seulement) | 21 (0,4 %) |
| TLS-RPT | Signale les échecs de livraison sécurisée : adopté | 35 (0,6 %) |
| BIMI | Logo vérifié dans la boîte de réception : en service | 42 (0,7 %) |
Le SPF est largement publié en Turquie : seuls 4,8 % des domaines n'ont aucun enregistrement SPF, l'une des parts les plus faibles que nous ayons mesurées ; la Grèce fait encore mieux (3,8 %). Les normes plus récentes sont à peine arrivées : moins de 1 domaine sur 100 utilise MTA-STS, TLS-RPT ou BIMI.
Petites entreprises contre grandes entreprises
| Population | Domaines vérifiés | Aucun enregistrement DMARC | Surveillance seule | Appliqué |
|---|---|---|---|---|
| Entreprises turques de 1 à 3 établissements (commerces, bureaux, métiers) | 2 688 | 45,1 % | 30,7 % | 23,4 % |
| Entreprises turques de 4 établissements ou plus | 74 | 24,3 % | 33,8 % | 41,9 % |
| Sites .tr de Turquie du top 100 000 | 271 | 14,4 % | 24,7 % | 60,1 % |
Les sites .tr les plus populaires de Turquie appliquent DMARC à 60,1 %, plus de deux fois le taux des petites entreprises du pays. Près de la moitié des petites entreprises (45,1 %) n'ont aucun enregistrement DMARC, et 85,8 % ont au moins un problème de sécurité e-mail.
Administration contre petites entreprises
Les organismes publics sont une cible évidente pour les e-mails d'imposteurs. Nous avons comparé les domaines du secteur public que nous pouvons identifier (domaines .gov.tr, .edu.tr, .bel.tr et .k12.tr, et bureaux cartographiés comme administrations) aux petites entreprises turques :
| Population | Domaines | Aucun enregistrement DMARC | Surveillance seule | p=quarantine | p=reject | Appliqué |
|---|---|---|---|---|---|---|
| Domaines turcs de l'administration, de l'enseignement et des municipalités | 644 | 27,6 % | 19,6 % | 36,5 % | 15,8 % | 52,3 % |
| Entreprises turques de 1 à 3 établissements | 2 688 | 45,1 % | 30,7 % | 16,5 % | 6,9 % | 23,4 % |
Le secteur public turc applique DMARC plus de deux fois plus souvent que les petites entreprises du pays, parmi les secteurs publics les plus solides que nous ayons mesurés, derrière Singapour (91,2 %), les Pays-Bas (80,7 %) et l'Australie (62,8 %). La plupart s'arrêtent à p=quarantine. Les domaines municipaux .bel.tr font le mieux (62,3 % sur 101), puis les universités en .edu.tr (57,6 % sur 222). Les domaines .gov.tr de l'administration centrale sont à la traîne, à 46,1 % sur 280, et 41,4 % d'entre eux n'ont aucun enregistrement DMARC.
Qui est le plus exposé
Les cabinets d'avocats et les agences de voyages sont les entreprises turques les moins protégées
Part des domaines recevant de l'e-mail de chaque secteur en p=quarantine ou p=reject (domaines vérifiés entre parenthèses).
Cabinets d'avocats (58)
Agences de voyages (76)
Agences immobilières (89)
Centres commerciaux (115)
Concessionnaires auto (64)
Bureaux d'entreprises (355)
Supermarchés (76)
Magasins de vêtements (118)
Sociétés informatiques (60)
Bleu : professions qui manient l'argent des clients · ligne pointillée : moyenne turque (31,0 %).
Tous les secteurs turcs que nous pouvons mesurer sont sous la moyenne nationale, sauf les magasins de vêtements (36,4 %) et les sociétés informatiques (43,3 %). Les entreprises qui manient l'argent des clients font le moins bien : cabinets d'avocats (10,3 %), agences de voyages (11,8 %) et agences immobilières (20,2 %).
Méthodologie
Population. 5 646 domaines turcs qui reçoivent de l'e-mail (enregistrements MX fonctionnels), issus de deux sources :
- les entreprises et organismes publics turcs cartographiés sur OpenStreetMap avec leur propre site web, toute extension : 2 979 domaines
- chaque domaine .tr du classement de popularité Tranco top 1 million : 2 976 domaines recevant de l'e-mail
309 domaines figurent dans les deux. Les profils sociaux, annuaires et pages hébergées que l'entreprise ne contrôle pas sont exclus. Les entreprises cartographiées en Turquie mais utilisant le domaine d'un pays voisin sont comptées dans ce pays.
Contrôles. Chaque domaine a été analysé par le moteur de Spoofhound, le même que celui de la vérification de domaine gratuite. Il couvre SPF, DKIM (sélecteurs connus des grands fournisseurs de messagerie comme Microsoft, Google, SendGrid, Mailchimp et bien d’autres), DMARC, MTA-STS, TLS-RPT et BIMI. Chaque chiffre reflète une analyse dans les 30 jours précédant le 2026-11-09.
Limites assumées.
- Secteur public. Les domaines de l'administration, de l'enseignement et des municipalités que nous pouvons identifier (.gov.tr, .edu.tr, .bel.tr, .k12.tr et bureaux cartographiés comme administrations) représentent 644 domaines, soit 11,4 % de l'échantillon, et appliquent DMARC à 52,3 %. Sans eux, le chiffre est de 28,3 %.
- Biais d'échantillon. L'échantillon d'entreprises couvre les entreprises cartographiées avec site web, ce qui penche vers les métiers visibles orientés grand public. Les chiffres par secteur reposent sur 58 à 355 domaines chacun, et ceux du groupe de quatre établissements ou plus sur 74.
- DKIM. DKIM ne peut être confirmé que présent, jamais absent.
- Ce que signifie « appliqué ». p=quarantine ou p=reject sur le domaine lui-même. Les enregistrements défectueux comptent comme non appliqués, car c'est ainsi que les serveurs destinataires les traitent.
Données © contributeurs OpenStreetMap (ODbL) · liste Tranco du projet de recherche Tranco.
Où se situe votre domaine dans ces chiffres ? Découvrez-le en 30 secondes.
Vérifiez votre domaine — gratuit