Investigação Spoofhound · publicada a 2026-10-17
Estado do DMARC 2026 — França
84% dos domínios franceses podem ser falsificados por e-mail.
O Spoofhound analisou a web francesa — cada domínio .fr que recebe e-mail no top um milhão da Tranco, mais 63 069 empresas francesas cartografadas, 71 101 domínios no total — com o mesmo motor da nossa verificação de domínio gratuita. É assim que está realmente a segurança do e-mail em França em 2026.
Verifique o seu domínio — grátisO número-chave
84% dos domínios franceses que recebem e-mail podem ser falsificados. Dos 71 101 domínios franceses verificados, 59 920 não publicam DMARC, deixam-no em modo de monitorização, ou têm um registo defeituoso — os sistemas de correio recetores nunca recebem, portanto, a instrução de bloquear as falsificações enviadas em seu nome.
Três números contam a história:
- •84,3% dos domínios franceses que recebem e-mail não têm nenhuma política DMARC aplicada. Menos de um em seis (15,7%) pede ao mundo para pôr em quarentena ou rejeitar os impostores.
- •O fosso das pequenas empresas: 87% expostas, contra 44% da web popular. As empresas francesas com uma a três localizações aplicam DMARC a 13,4%; os 100 000 sites franceses mais bem classificados chegam a 55,8%. As empresas menos capazes de sobreviver a uma fraude de faturas são as menos protegidas.
- •O domínio francês médio obtém 32,8 em 100 na verificação completa de segurança de e-mail (SPF, DKIM, DMARC, MTA-STS, TLS-RPT, BIMI); 89,9% têm pelo menos um problema a corrigir.
DMARC na web francesa
Quase metade dos domínios franceses que recebem e-mail (47,4%) não publica nenhum registo DMARC — o servidor recetor não recebe política nem endereço de relatórios, pelo que o proprietário nunca fica a saber que o seu domínio está a ser abusado. Outros 36,5% publicam um registo mas deixam-no em p=none: talvez recebam relatórios, mas o correio de impostores continua a chegar às caixas de entrada. Os 318 registos defeituosos (duplicados, políticas mal escritas como «quarentine») são tratados pelos recetores exatamente como a ausência de registo.
O resto da cadeia
O DMARC é a camada de aplicação, mas a análise cobre toda a cadeia. Entre os mesmos 71 101 domínios franceses que recebem e-mail:
| Verificação | Constatação | Domínios |
|---|---|---|
| SPF | Nenhum registo — qualquer servidor pode enviar em nome do domínio | 6 511 (9,2%) |
| SPF | O registo termina em +all ou ?all — publicado, mas autoriza toda a gente | 5 132 (7,2%) |
| DKIM Microsoft 365 | Ambos os seletores de assinatura avariados — o seu correio de saída pode falhar a autenticação hoje mesmo | 158 |
| MTA-STS | Protege o correio de entrada contra interceção — adotado | 276 (0,4%) |
| TLS-RPT | Comunica falhas de entrega segura — adotado | 414 (0,6%) |
| BIMI | Logótipo verificado na caixa de entrada — ativo | 532 (0,7%) |
As camadas de cifragem e de marca quase não existem em França: menos de um domínio em cem tem MTA-STS, TLS-RPT ou BIMI. Para os pioneiros é uma oportunidade — um logótipo verificado e uma segurança de transporte aplicada ainda são aqui diferenciadores, não requisitos básicos.
Pequenas empresas contra a web popular
Esta é a divisão que nenhum outro estudo mede: os relatórios do setor amostram sites populares, precisamente onde o problema não está.
| População | Domínios verificados | Sem registo DMARC | Só monitorização | Aplicado |
|---|---|---|---|---|
| Empresas francesas com 1–3 localizações (lojas, escritórios, ofícios) | 61 305 | 50,2% | 35,9% | 13,4% |
| Os 100 000 sites franceses mais bem classificados | 1 472 | 13,4% | 30,7% | 55,8% |
A web popular já fez em grande parte o trabalho — empurrada pelas regras de remetentes de 2024 da Google e da Yahoo e pelas equipas de segurança. A padaria, o escritório de advogados e a oficina não têm ninguém a empurrar: 86,6% das pequenas empresas francesas podem ser falsificadas por e-mail, e a maioria não tem endereço de relatórios — nunca o saberiam, portanto. E são precisamente as empresas onde uma única fatura falsa a um cliente, ou uma única mensagem falsificada ao seu contabilista, é um acontecimento existencial.
Quem está mais exposto
Como os dados das empresas estão cartografados, a exposição lê-se por ofício. Aplicação por setor, do pior para o melhor (empresas francesas, setores com 400+ domínios verificados):
| Setor | Domínios | Sem registo DMARC | Aplicado |
|---|---|---|---|
| Cabeleireiros | 1 477 | 66,8% | 6,0% |
| Livrarias | 1 145 | 58,0% | 6,9% |
| Oculistas | 916 | 56,6% | 7,5% |
| Garrafeiras | 882 | 48,6% | 7,8% |
| Institutos de beleza | 1 256 | 54,9% | 8,0% |
| Oficinas / reparação auto | 1 243 | 67,7% | 8,5% |
| Padarias | 1 048 | 56,3% | 9,3% |
| Concessionários auto | 1 447 | 61,1% | 9,6% |
| Agências imobiliárias | 3 771 | 59,0% | 10,2% |
| Lojas de roupa | 1 976 | 38,5% | 16,3% |
| Escritórios de empresas | 5 041 | 38,3% | 26,7% |
| Serviços públicos | 1 322 | 29,0% | 35,8% |
Duas leituras saltam à vista. As agências imobiliárias — empresas que enviam habitualmente dados bancários por e-mail para cauções e rendas — aplicam DMARC a 10,2%, e 59% não publicam nada; são talvez o setor desprotegido de maior risco em França. E o gradiente dos cabeleireiros (6%) à administração pública (36%) segue o apoio informático, não o risco: a proteção vai para onde estão os informáticos, não para onde está a exposição à fraude.
Metodologia
População. 71 101 domínios franceses que recebem e-mail (registos MX funcionais), de duas fontes: cada domínio .fr do ranking de investigação Tranco top 1 milhão de sites populares (12 412 recebem e-mail) e 63 069 empresas francesas cartografadas no OpenStreetMap com site próprio (qualquer terminação; páginas de plataformas e perfis sociais excluídos). 4 380 domínios figuram em ambas. Excluem-se os domínios sem MX e os domínios de páginas alojadas que a empresa não controla.
Verificações. Cada domínio foi analisado pelo motor do Spoofhound — o mesmo da verificação de domínio gratuita — cobrindo SPF, DKIM (29 seletores comuns), DMARC, MTA-STS, TLS-RPT e BIMI, via DNS e obtenção dos ficheiros de política. Cada número reflete uma análise nos 30 dias até 2026-10-17.
Limites honestos. O DKIM só pode ser confirmado como presente, nunca como ausente — não se fazem, portanto, afirmações de ausência de DKIM. A amostra de empresas cobre empresas cartografadas com site, o que pende para ofícios visíveis virados ao consumidor. «Aplicado» significa p=quarantine ou p=reject no domínio organizacional; pct<100 e os registos defeituosos contam como não aplicados, tal como os recetores os tratam.
Dados © contribuidores do OpenStreetMap (ODbL) · lista Tranco do projeto de investigação Tranco.
Onde se situa o seu domínio nestes números? Descubra em 30 segundos.
Verifique o seu domínio — grátis