Étude Spoofhound · 2026-11-08
État des lieux DMARC 2026 — États-Unis
Quatre entreprises américaines sur cinq peuvent être usurpées par e-mail.
Spoofhound a analysé les entreprises américaines : 113 484 domaines qui reçoivent des e-mails, presque tous d'entreprises locales cartographiées dans les 50 États, vérifiés avec le même moteur que notre vérification de domaine gratuite. C'est l'un des plus grands échantillons de nos études.
Vérifiez votre domaine — gratuitLe chiffre clé
Quatre entreprises américaines sur cinq qui reçoivent des e-mails peuvent être usurpées. Sur 113 484 domaines vérifiés, 91 419 (80,6 %) n'ont aucune politique DMARC appliquée : pas d'enregistrement, surveillance seule, ou enregistrement défectueux. Les systèmes de messagerie destinataires ne reçoivent jamais l'ordre de bloquer les faux envoyés en leur nom.
Trois chiffres racontent l'histoire :
- •19,4 % appliquent DMARC. C'est derrière le Royaume-Uni (24,5 %), l'Inde (24,9 %), l'Afrique du Sud (34,1 %) et l'Arabie saoudite (45,7 %), et devant la France (15,7 %). En ne comptant que les entreprises, les États-Unis sont à 19,0 %. Voir comment se comparent tous les pays que nous avons mesurés.
- •La moitié n'a aucun enregistrement DMARC : 48,6 %. 55 208 domaines ne publient rien : leurs propriétaires n'apprendraient jamais que quelqu'un envoie du courrier en leur nom.
- •L'écart des petites entreprises : 18,5 % contre 73,5 %. Les entreprises américaines de un à trois établissements appliquent DMARC à 18,5 %. Les entreprises américaines dont le site figure dans le top 100 000 mondial atteignent 73,5 %.
Le domaine d'entreprise américain moyen obtient 28,9 sur 100 au contrôle complet de sécurité e-mail, et 84,7 % ont au moins un problème à corriger.
DMARC dans les entreprises américaines
81 % des domaines d'entreprises américaines peuvent être usurpés
91 419 des 113 484 domaines vérifiés n'ont aucune politique DMARC appliquée.
Aucun enregistrement DMARC
Surveillance seule (p=none)
Enregistrement défectueux ou en double
p=quarantine
p=reject
Rouge : les destinataires ne reçoivent jamais l'ordre de bloquer les faux · Vert : le courrier d'imposteurs est mis en quarantaine ou rejeté.
Les États-Unis ont l'un des plus grands groupes sans enregistrement que nous ayons mesurés : près de la moitié des domaines (48,6 %), contre 39,2 % en Inde et 34,2 % en Afrique du Sud. Un autre tiers publie un enregistrement mais le laisse à p=none (31,5 %). Ce groupe en surveillance seule compte le plus commercialement. Ces entreprises ont déjà commencé et reçoivent peut-être des rapports, mais se sont arrêtées avant le réglage qui bloque réellement le courrier d'imposteurs. Finir ce travail, c'est exactement ce que fait Spoofhound.
Le reste de la chaîne
| Contrôle | Constat | Domaines |
|---|---|---|
| SPF | Aucun enregistrement : n'importe quel serveur peut envoyer au nom du domaine | 20 225 (17,8 %) |
| SPF | Enregistrement terminé par +all ou ?all : publié, mais autorise tout le monde | 3 365 (3,0 %) |
| DKIM Microsoft 365 | Les deux sélecteurs de signature cassés : le courrier sortant peut échouer à l'authentification dès aujourd'hui | 385 |
| MTA-STS | Protège le courrier entrant contre l'interception : adopté (dont 339 en mode test seulement) | 656 (0,6 %) |
| TLS-RPT | Signale les échecs de livraison sécurisée : adopté | 944 (0,8 %) |
| BIMI | Logo vérifié dans la boîte de réception : en service | 899 (0,8 %) |
Aux États-Unis, le retard commence avant DMARC. Près d'une entreprise sur cinq n'a aucun enregistrement SPF, parmi les taux les plus élevés que nous ayons mesurés : trois fois celui de l'Afrique du Sud (5,8 %) et bien au-dessus de celui de l'Inde (11,6 %). Sans SPF, une entreprise ne peut pas atteindre l'application de DMARC sans casser son propre courrier. Les normes plus récentes sont à peine arrivées : moins d'un domaine sur 100 utilise MTA-STS, TLS-RPT ou BIMI.
Petites entreprises contre grandes
| Population | Domaines vérifiés | Aucun enregistrement DMARC | Surveillance seule | Appliqué |
|---|---|---|---|---|
| Entreprises américaines de 1 à 3 établissements (commerces, bureaux, artisans) | 109 355 | 49,7 % | 31,4 % | 18,5 % |
| Entreprises américaines de 4 à 9 établissements | 1 687 | 16,5 % | 36,3 % | 46,5 % |
| Entreprises américaines de 10 établissements ou plus | 908 | 6,5 % | 31,1 % | 62,1 % |
| Entreprises américaines dont le site figure dans le top 100 000 mondial | 2 070 | 2,7 % | 23,8 % | 73,5 % |
La protection augmente régulièrement avec la taille. Les chaînes et les marques connues ont largement fait le travail : seule une sur quinze parmi celles de dix établissements ou plus n'a pas d'enregistrement DMARC. Les petites entreprises sont à l'opposé : la moitié ne publie rien et 85,6 % ont au moins un problème de sécurité e-mail. Ce sont elles que la fraude aux fausses factures et l'usurpation frappent le plus durement, car elles n'ont pas d'équipe de sécurité pour s'en apercevoir.
Qui est le plus exposé
Les commerces de la rue commerçante protègent moins d'un domaine sur dix
Part des domaines de chaque secteur qui reçoivent des e-mails à p=quarantine ou p=reject (domaines vérifiés entre parenthèses).
Salons de coiffure (3 208)
Magasins de vélos (1 504)
Brasseries (1 552)
Instituts de beauté (3 010)
Fleuristes (1 004)
Boulangeries (2 160)
Garages / réparation auto (3 980)
Bijouteries (1 352)
Concessionnaires auto (3 782)
Agents immobiliers (2 604)
Plombiers (635)
Préparateurs fiscaux (366)
Chauffage et climatisation (HVAC) (937)
Cabinets d'avocats (3 761)
Comptables (729)
Architectes (648)
Bureaux d'entreprise (5 528)
Conseillers financiers (489)
Sociétés informatiques (954)
Agents d'assurance (2 278)
Bleu : professions qui manient l'argent des clients · ligne pointillée : moyenne américaine (19,4 %).
Les commerces d'une rue commerçante typique sont les plus bas : salons de coiffure et instituts de beauté, fleuristes, boulangeries et magasins de vélos protègent tous moins d'un domaine sur dix. Les professions qui manient de l'argent font mieux, mais restent exposées. Les agents immobiliers (18,4 %) et les cabinets d'avocats (23,2 %) sont les cibles habituelles de la fraude au virement lors d'achats immobiliers, et trois sur quatre laissent leur nom sans protection. Les agents d'assurance sont en tête à 51,4 %, sans doute parce que les grands assureurs configurent l'e-mail de leurs agents.
Méthodologie
Population. 113 484 domaines américains qui reçoivent de l'e-mail (enregistrements MX fonctionnels), issus de deux sources :
- les entreprises américaines cartographiées sur OpenStreetMap avec leur propre site web, toute extension : 111 716 domaines
- chaque domaine .us du classement de popularité Tranco top 1 million : 1 864 domaines recevant de l'e-mail
96 domaines figurent dans les deux. Les profils sociaux, annuaires et pages hébergées que l'entreprise ne contrôle pas sont exclus.
Contrôles. Chaque domaine a été analysé par le moteur de Spoofhound, le même que celui de la vérification de domaine gratuite. Il couvre SPF, DKIM (sélecteurs connus des grands fournisseurs de messagerie comme Microsoft, Google, SendGrid, Mailchimp et bien d’autres), DMARC, MTA-STS, TLS-RPT et BIMI. Chaque chiffre reflète une analyse dans les 30 jours précédant le 2026-11-08.
Limites assumées.
- Une étude des entreprises, pas une étude nationale. Les sites américains populaires utilisent surtout .com, qui n'indique aucun pays : le web populaire américain ne peut donc pas être échantillonné comme le .uk du Royaume-Uni ou le .in de l'Inde. Les chiffres américains décrivent les entreprises cartographiées ; la ligne de comparaison utilise les entreprises cartographiées dont le site figure aussi dans le top 100 000 de Tranco.
- Secteur public écarté. Les domaines gouvernementaux et universitaires ne représentent que 1,3 % de l'échantillon (application à 53,5 %). Dans la liste Tranco, les domaines .gov appliquent DMARC à 63,5 % et les .edu à 57,5 %, loin devant les entreprises.
- Biais d'échantillon. L'échantillon d'entreprises couvre les entreprises cartographiées avec site web, ce qui penche vers les métiers visibles orientés grand public. Les chiffres par secteur reposent sur 300 à 5 500 domaines chacun, assez pour être cités.
- DKIM. DKIM ne peut être confirmé que présent, jamais absent.
- Ce que signifie « appliqué ». p=quarantine ou p=reject sur le domaine lui-même. Les enregistrements défectueux comptent comme non appliqués, car c'est ainsi que les serveurs destinataires les traitent.
Données © contributeurs OpenStreetMap (ODbL) · liste Tranco du projet de recherche Tranco.
Où se situe votre domaine dans ces chiffres ? Découvrez-le en 30 secondes.
Vérifiez votre domaine — gratuit