Investigação Spoofhound · 2026-11-08
Estado do DMARC 2026 — Canadá
Mais de três em cada quatro domínios canadianos podem ser falsificados por e-mail.
O Spoofhound analisou a web canadiana: 26 451 domínios que recebem e-mail, dos sites populares do país e de empresas locais cartografadas em todas as províncias e territórios, verificados com o mesmo motor da nossa verificação de domínio gratuita.
Verifique o seu domínio — grátisO número-chave
Mais de três em cada quatro domínios canadianos que recebem e-mail podem ser falsificados. Dos 26 451 domínios verificados, 20 394 (77,1%) não têm uma política DMARC aplicada: nenhum registo, só monitorização ou um registo defeituoso. Os sistemas de correio recetores nunca recebem a instrução de bloquear as falsificações enviadas em seu nome.
Três números contam a história:
- •22,9% aplicam DMARC. Isso coloca o Canadá entre os Estados Unidos (19,4%) e o Reino Unido (24,5%), atrás da Índia (24,9%), da África do Sul (34,1%) e da Arábia Saudita (45,7%), e à frente de França (15,7%).
- •As pequenas empresas canadianas estão ao nível das norte-americanas: 18,6% contra 18,5%. As empresas com um a três locais estão tão expostas a norte da fronteira como a sul.
- •A lacuna de dimensão: 18,6% contra 64,0%. As empresas com dez ou mais locais aplicam DMARC a 64,0%, e os sites .ca do top 100 000 a 56,7%.
O domínio canadiano médio obtém 33,8 em 100 na verificação completa de segurança de e-mail, e 82,6% têm pelo menos um problema a corrigir.
DMARC na web canadiana
77% dos domínios canadianos que recebem e-mail podem ser falsificados
20 394 dos 26 451 domínios verificados não têm uma política DMARC aplicada.
Sem registo DMARC
Só monitorização (p=none)
Registo defeituoso ou duplicado
p=quarantine
p=reject
Vermelho: os recetores nunca recebem a instrução de bloquear as falsificações · Verde: o correio de impostores é posto em quarentena ou rejeitado.
Quatro em cada dez domínios canadianos não têm registo DMARC (42,3%), e um terço publica um mas deixa-o em p=none (34,3%). O grupo em só monitorização é o mais importante comercialmente. Estas organizações já começaram e talvez recebam relatórios, mas pararam antes da definição que realmente bloqueia o correio de impostores. Terminar esse trabalho é exatamente o que o Spoofhound faz.
O resto da cadeia
| Verificação | Constatação | Domínios |
|---|---|---|
| SPF | Nenhum registo: qualquer servidor pode enviar em nome do domínio | 3 370 (12,7%) |
| SPF | Registo termina em +all ou ?all: publicado, mas permite a todos | 807 (3,1%) |
| DKIM do Microsoft 365 | Ambos os seletores de assinatura avariados: o correio enviado pode falhar a autenticação já hoje | 96 |
| MTA-STS | Protege o correio recebido contra interceção: adotado (106 destes só em modo de teste) | 216 (0,8%) |
| TLS-RPT | Reporta entregas seguras falhadas: adotado | 298 (1,1%) |
| BIMI | Logótipo verificado na caixa de entrada: ativo | 302 (1,1%) |
Um em cada oito domínios canadianos não tem qualquer registo SPF, entre a Índia (11,6%) e os Estados Unidos (17,8%). Sem SPF, uma empresa não consegue chegar à aplicação de DMARC sem bloquear o seu próprio correio. Os padrões mais recentes são raros: cerca de 1 em cada 100 domínios usa MTA-STS, TLS-RPT ou BIMI.
Pequenas empresas contra empresas maiores
| População | Domínios verificados | Sem registo DMARC | Só monitorização | Aplicado |
|---|---|---|---|---|
| Empresas canadianas com 1–3 locais (lojas, escritórios, ofícios) | 21 063 | 46,8% | 34,0% | 18,6% |
| Empresas canadianas com 4–9 locais | 387 | 10,9% | 39,5% | 48,6% |
| Empresas canadianas com 10 ou mais locais | 292 | 5,8% | 30,1% | 64,0% |
| Sites .ca do top 100 000 | 402 | 10,7% | 32,3% | 56,7% |
A proteção sobe de forma constante com a dimensão, tal como nos Estados Unidos. As cadeias e os sites conhecidos já fizeram em grande parte o trabalho: só cerca de uma em cada vinte empresas com dez ou mais locais não tem registo DMARC. As pequenas empresas são o oposto: quase metade não publica nada e 86,4% têm pelo menos um problema de segurança de e-mail.
Quem está mais exposto
O comércio de rua protege menos de um em cada dez domínios canadianos
Parte dos domínios de cada setor que recebem e-mail em p=quarantine ou p=reject (domínios verificados entre parênteses).
Floristas (244)
Cabeleireiros (651)
Padarias (482)
Institutos de beleza (687)
Lojas de bicicletas (355)
Oficinas auto (586)
Cervejeiras (245)
Lojas de canábis (211)
Oculistas (274)
Lojas de roupa (847)
Agências imobiliárias (294)
Concessionários auto (814)
Escritórios de advogados (418)
Contabilistas (184)
Escritórios de empresas (1 274)
Escritórios financeiros (109)
Agentes de seguros (248)
Serviços públicos (255)
Empresas de informática (171)
Azul: profissões que gerem dinheiro de clientes · linha tracejada: média canadiana (22,9%).
O padrão acompanha de perto o dos Estados Unidos. Floristas, cabeleireiros, padarias e lojas de bicicletas protegem todos menos de um em cada dez domínios. As agências imobiliárias ficam nos 16,7%, abaixo da média nacional, apesar de gerirem depósitos que a fraude de faturas tem como alvo. As empresas de informática lideram com 45,0%, e mesmo aí mais de metade deixa o próprio nome desprotegido.
Metodologia
População. 26 451 domínios canadianos que recebem e-mail (registos MX funcionais), de duas fontes:
- empresas canadianas cartografadas no OpenStreetMap com site próprio, em qualquer terminação: 21 742 domínios
- cada domínio .ca do ranking de popularidade Tranco top 1 milhão: 5 353 domínios que recebem e-mail
644 domínios aparecem em ambas. Excluem-se perfis sociais, diretórios e páginas alojadas que a empresa não controla.
Verificações. Cada domínio foi analisado pelo motor do Spoofhound, o mesmo da verificação de domínio gratuita. Abrange SPF, DKIM (seletores conhecidos dos principais fornecedores de e-mail, como Microsoft, Google, SendGrid, Mailchimp e outros), DMARC, MTA-STS, TLS-RPT e BIMI. Cada número reflete uma análise nos 30 dias até 2026-11-08.
Limites honestos.
- Sem um número separado só para empresas. Os domínios governamentais canadianos em .gc.ca e nos sufixos provinciais .gov são apenas 46 da amostra, e as universidades usam nomes .ca comuns que não se conseguem distinguir. Na prática, o número principal já é um número de empresas.
- Enviesamento da amostra. A amostra abrange empresas cartografadas com site, o que pende para atividades visíveis e viradas para o consumidor. Os números por setor assentam em 100 a 1 300 domínios cada.
- DKIM. O DKIM só pode ser confirmado como presente, nunca como ausente.
- O que significa «aplicado». p=quarantine ou p=reject no próprio domínio. Os registos defeituosos contam como não aplicados, porque é assim que os servidores de correio recetores os tratam.
Dados © contribuidores do OpenStreetMap (ODbL) · lista Tranco do projeto de investigação Tranco.
Onde se situa o seu domínio nestes números? Descubra em 30 segundos.
Verifique o seu domínio — grátis