Étude Spoofhound · publiée le 2026-10-19
État des lieux DMARC 2026 — Royaume-Uni
Trois domaines britanniques sur quatre peuvent être usurpés par e-mail.
Spoofhound a analysé le web britannique — chaque domaine .uk recevant de l'e-mail dans le top un million de Tranco, plus 40 563 entreprises britanniques cartographiées, soit 54 567 domaines au total, notre plus grande analyse publiée — avec le même moteur que notre vérification de domaine gratuite. L'histoire du Royaume-Uni : « commencé, pas terminé » — ses meilleurs sites mènent l'Europe, pas ses petits commerces.
Vérifiez votre domaine — gratuitLe chiffre clé
Trois domaines britanniques sur quatre recevant de l'e-mail peuvent être usurpés. Sur 54 567 domaines britanniques vérifiés, 41 270 (75,6 %) ne publient aucun enregistrement DMARC, le laissent en surveillance seule, ou publient un enregistrement défectueux — les systèmes de messagerie destinataires ne reçoivent donc jamais l'instruction de bloquer les faux messages envoyés en leur nom.
Trois chiffres racontent l'histoire :
- •24,4 % appliqués — mieux que la France (15,7 %), loin derrière l'Arabie saoudite (45,7 %). Le Royaume-Uni se situe au milieu des marchés analysés, réparti presque également entre quarantine (12,6 %) et reject complet (11,8 %).
- •37,4 % ne publient rien du tout — 20 419 domaines sans enregistrement DMARC, sans politique et sans adresse de rapport : leurs propriétaires ne sauraient jamais que leur domaine est utilisé abusivement.
- •37,7 % sont restés en p=none — le groupe le plus important. Plus de 20 000 organisations britanniques ont fait le premier pas, reçoivent les rapports (ou ne les lisent pas), et n'ont jamais durci la politique. Le problème du Royaume-Uni n'est pas l'ignorance de DMARC ; c'est une adoption inachevée.
DMARC sur le web britannique
La forme du Royaume-Uni, c'est « commencé, pas terminé » : la surveillance seule (37,7 %) est le groupe le plus important, d'une fraction devant l'absence totale d'enregistrement (37,4 %). Contrairement à l'Arabie saoudite, où les adoptants atteignent massivement p=reject, les appliquants britanniques se répartissent presque également entre quarantine et reject. Les 257 enregistrements défectueux (doublons, politiques invalides ou mal orthographiées) sont traités par les destinataires exactement comme une absence d'enregistrement.
Le reste de la chaîne
DMARC est la couche d'application, mais l'analyse couvre toute la chaîne. Parmi les mêmes 54 567 domaines britanniques recevant de l'e-mail :
| Contrôle | Constat | Domaines |
|---|---|---|
| SPF | Aucun enregistrement — n'importe quel serveur peut envoyer au nom du domaine | 5 694 (10,4 %) |
| SPF | L'enregistrement se termine par +all ou ?all — publié, mais autorise tout le monde | 1 074 (2,0 %) |
| DKIM Microsoft 365 | Les deux sélecteurs de signature sont cassés — leur courrier sortant peut échouer à l'authentification dès aujourd'hui | 185 |
| MTA-STS | Protège le courrier entrant contre l'interception — adopté | 1 359 (2,5 %) |
| TLS-RPT | Signale les échecs de livraison sécurisée — adopté | 1 775 (3,3 %) |
| BIMI | Logo vérifié dans la boîte de réception — actif | 921 (1,7 %) |
Le domaine britannique moyen obtient 36,4 sur 100 au contrôle complet, et 44 033 (80,7 %) ont au moins un problème à corriger. L'hygiène SPF est le point faible de base du Royaume-Uni : avec 10,4 % d'absences, elle est pire que la France (9,2 %) et l'Arabie saoudite (7,0 %). Les couches chiffrement et image de marque sont minces partout, mais l'adoption britannique de MTA-STS et TLS-RPT (2,5 % et 3,3 %) représente plusieurs fois les taux français et saoudiens — un terrain de précurseurs, encore un différenciateur visible.
Petites entreprises contre web populaire
Le même fossé que sur chaque marché analysé, mesuré sur la tranche que personne d'autre ne mesure :
| Population | Domaines vérifiés | Aucun enregistrement DMARC | Surveillance seule | Appliqué |
|---|---|---|---|---|
| Entreprises britanniques de 1 à 3 implantations (commerces, cabinets, artisans) | 40 032 | 41,5 % | 37,9 % | 20,1 % |
| Les 100 000 sites .uk les mieux classés | 1 184 | 11,8 % | 24,2 % | 64,0 % |
Le web populaire a largement fait le travail — 64 % d'application est le meilleur chiffre top-100k que nous ayons mesuré, devant les 55,8 % de la France. Pas les petits commerces : 79,9 % des petites entreprises britanniques peuvent être usurpées par e-mail, et 84,7 % ont au moins un problème de sécurité e-mail. L'écart entre le meilleur du Royaume-Uni et ses petits commerces — 64 % contre 20 % — est le plus large de tous les marchés analysés à ce jour.
Qui est le plus exposé
Application par métier, du pire au meilleur (entreprises britanniques cartographiées, secteurs de 400 domaines vérifiés ou plus) :
| Secteur | Domaines | Aucun enregistrement DMARC | Appliqué |
|---|---|---|---|
| Coiffeurs | 1 685 | 55,3 % | 6,0 % |
| Fleuristes | 514 | 46,9 % | 9,3 % |
| Instituts de beauté | 1 243 | 48,3 % | 9,9 % |
| Boulangeries | 517 | 48,5 % | 11,0 % |
| Magasins de vélos | 700 | 48,4 % | 11,9 % |
| Garages / réparation auto | 1 324 | 55,5 % | 12,0 % |
| Opticiens | 551 | 47,7 % | 12,3 % |
| Brasseries | 422 | 36,5 % | 14,9 % |
| Bijoutiers | 600 | 41,3 % | 15,2 % |
| Magasins de vêtements | 1 582 | 35,3 % | 17,0 % |
| Concessionnaires auto | 983 | 51,3 % | 22,7 % |
| Agences immobilières | 2 062 | 36,0 % | 25,0 % |
| Experts-comptables | 654 | 41,7 % | 29,2 % |
| Cabinets d'avocats | 984 | 34,7 % | 38,1 % |
| Bureaux d'entreprises | 2 437 | 29,7 % | 39,2 % |
Deux lectures sautent aux yeux. Trois agences immobilières britanniques sur quatre peuvent être usurpées (25,0 % appliqués) — les entreprises qui envoient par e-mail des coordonnées bancaires pour dépôts de garantie, loyers et signatures, sur le marché où la fraude au virement immobilier du vendredi après-midi (« Friday afternoon fraud ») est un schéma criminel reconnu. Et les professions qui manient l'argent et les données les plus sensibles — experts-comptables à 29,2 %, cabinets d'avocats à 38,1 % — font mieux que les petits commerces mais laissent encore la majorité de leurs domaines ouverts. Comme partout, la protection suit le support informatique, pas l'exposition à la fraude.
Méthodologie
Population. 54 567 domaines britanniques qui reçoivent de l'e-mail (enregistrements MX fonctionnels), issus de deux sources : chaque domaine .uk du classement de recherche Tranco top 1 million des sites populaires (41 547 recevant de l'e-mail), et 40 563 entreprises britanniques cartographiées sur OpenStreetMap avec leur propre site web (toute extension ; pages de plateformes et profils sociaux exclus). 27 543 domaines figurent dans les deux. Les domaines sans MX et les domaines de pages hébergées que l'entreprise ne contrôle pas sont exclus (22 434 domaines .uk de Tranco et 2 566 entreprises cartographiées ne reçoivent pas de courrier).
Contrôles. Chaque domaine a été analysé par le moteur de Spoofhound — le même que celui de la vérification de domaine gratuite — couvrant SPF, DKIM (sélecteurs courants), DMARC, MTA-STS, TLS-RPT et BIMI, via DNS et récupération des fichiers de politique. Chaque chiffre reflète une analyse effectuée dans les 30 jours précédant le 2026-10-19.
Limites assumées. Une population en .uk manque les organisations britanniques qui n'utilisent que le .com — la source des entreprises cartographiées corrige en partie ce biais, puisqu'elle inclut toute extension. DKIM ne peut être confirmé que présent, jamais absent — aucune affirmation d'absence de DKIM n'est donc faite. L'échantillon d'entreprises couvre les entreprises cartographiées avec site web, ce qui penche vers les métiers visibles orientés grand public. « Appliqué » signifie p=quarantine ou p=reject sur le domaine organisationnel ; pct<100 et les enregistrements défectueux sont comptés comme non appliqués, comme les traitent les destinataires.
Données © contributeurs OpenStreetMap (ODbL) · liste Tranco du projet de recherche Tranco.
Où se situe votre domaine dans ces chiffres ? Découvrez-le en 30 secondes.
Vérifiez votre domaine — gratuit