Adoption de DMARC : ce que 2026 montre

v=DMARC1; p=none; rua=mailto:dmarc@exemple.fr
v=DMARC1; p=reject; rua=mailto:dmarc@exemple.fr; sp=reject; np=reject

Ce que la série de baromètres dessine

Les baromètres sectoriels de dmarc.com relèvent chaque mois, au DNS public, la posture de corpus entiers de domaines. Sans recopier les chiffres du mois, trois positions relatives se dégagent nettement.

La banque tient la tête. Secteur le plus usurpé, le plus dépendant de la confiance et le plus régulé — DORA oblige —, elle cumule les moyens et la pression externe. Le baromètre consacré aux banques françaises en fait le secteur-test du protocole : si un secteur peut atteindre p=reject sur tout son périmètre, c'est celui-là, et sa position mesure le plafond de ce que les autres peuvent viser.

Le secteur public local est en retard. Le baromètre des villes et collectivités documente un paysage fait de petites équipes, de prestataires dispersés et d'une pression de délivrabilité faible — une mairie envoie peu de courrier en volume, les exigences de Gmail l'ont donc peu contrainte. Le paradoxe est cruel : l'usurpation d'une collectivité touche directement les administrés, sur des sujets — impôts, état civil, inscriptions scolaires — où la confiance accordée à l'expéditeur est maximale.

La santé illustre le grand écart entre criticité et moyens : un courrier vital — convocations, résultats, échanges de soins —, des équipes informatiques sous tension permanente et un patrimoine de domaines rarement inventorié. Le baromètre du secteur de la santé y retrouve le même profil de tête et de queue de peloton que les autres corpus, décalé vers le bas.

Au-delà des positions relatives, les schémas structurels se répètent d'un secteur à l'autre : une distribution jamais uniforme — une tête installée en reject de longue date, un milieu qui progresse par à-coups, rarement sans contrainte externe, une queue qui n'a pas commencé ; des domaines principaux mieux tenus que les marques secondaires et les filiales ; des domaines dormants oubliés de tous, sauf des fraudeurs. La moyenne d'un secteur dit peu ; la forme de sa distribution dit tout.

Les paliers de maturité d'une organisation

Rapportée à une organisation, la trajectoire type se lit en cinq paliers, et chaque baromètre en photographie la répartition.

Palier zéro : rien, ou un enregistrement invalide — une faute de syntaxe suffit à priver la politique de tout effet. Palier un : p=none publié, rapports non exploités ; c'est le plateau de la conformité minimale, celui où stationne une grande partie des domaines équipés. Palier deux : les rapports sont lus et le travail commence — inventaire des sources, alignement SPF et DKIM prestataire par prestataire. Palier trois : durcissement par étapes vers quarantine puis reject, proprement outillé aujourd'hui par le mode test t=y. Palier quatre : l'application couvre le périmètre entier — sous-domaines (sp=, np=), marques secondaires, domaines dormants verrouillés — et BIMI vient éventuellement marquer l'arrivée. Le passage du palier un au palier quatre est un projet de quelques mois pour un écosystème simple, davantage pour un groupe ; la checklist de mise en conformité pour 2026 en balise chaque étape.

Cette grille éclaire la lecture des mesures : un secteur ne progresse réellement que lorsque des domaines franchissent les paliers deux et trois. Un palier un qui se remplit fait monter la courbe de présence — pas la protection.

Ce que DMARCbis change pour 2027

La publication de DMARCbis n'exige aucune migration urgente — v=DMARC1 reste rétro-compatible — mais elle rebat trois cartes pour 2027.

D'abord, la découverte de la politique suit désormais le DNS Tree Walk : le domaine organisationnel se détermine en remontant l'arbre DNS lui-même, et non plus via la Public Suffix List, cette liste externe que le standard traînait comme une béquille. Pour les groupes aux arborescences profondes, la politique applicable devient plus prévisible ; la balise psd= accompagne le mécanisme.

Ensuite, la balise pct a disparu. La montée en charge progressive s'exprime par le mode test t=y, aux effets nettement plus lisibles — pct n'a jamais vraiment garanti la proportion qu'il promettait. Les enregistrements qui portent encore un pct= méritent une revue à mesure que les récepteurs convergent vers le nouveau texte.

Enfin, la balise np= règle explicitement le sort des sous-domaines inexistants — cible favorite des usurpations techniques, précisément parce qu'aucun courrier légitime n'en provient jamais. Un np=reject compte parmi les durcissements les moins risqués du protocole. La présentation complète de DMARCbis détaille l'ensemble des changements et ce qu'ils impliquent selon le point de départ.

Pour la mesure de l'adoption, le nouveau standard ajoute des marqueurs de maturité observables : présence d'un np=, usage du mode test, disparition progressive des pct hérités. Les relevés de 2027 auront de nouvelles colonnes à suivre.

Où suivre la mesure en continu

Une synthèse a une date ; l'adoption, elle, bouge chaque mois. C'est la raison d'être de l'Observatoire DMARC : des éditions mensuelles par secteur et par pays, relevées au DNS public — présence, validité, politique effective, sort des sous-domaines, indices SPF, DKIM et BIMI — avec classement nominatif et historique. La méthode n'a rien d'intrusif : elle lit ce que n'importe quel résolveur voit, car la posture DMARC d'un domaine est une déclaration publique, vérifiable par tous.

Le rythme mensuel apporte ce qu'aucune étude annuelle ne donne. Les régressions deviennent visibles — un enregistrement cassé par une refonte DNS, un reject redescendu en none après un incident de délivrabilité mal diagnostiqué. L'effet des échéances réglementaires s'observe en quasi-direct. Et les trajectoires — qui progresse, qui stagne — comptent davantage que les photographies : une étude est une photo, un observatoire est un film.

Une projection prudente

Ce que la dynamique 2024–2026 autorise à dire, sans avancer un seul chiffre, tient en trois lignes de tendance.

La présence d'enregistrements continuera de croître : elle ne coûte rien et les exigences la tirent mécaniquement. La courbe qui mérite l'attention est l'autre — la part des politiques réellement appliquées. Trois forces la poussent : les exigences des boîtes de réception, qui se durcissent par cliquets, seuils abaissés et exceptions refermées ; la réglementation, qui transforme peu à peu le p=none prolongé en constat d'audit ; et l'outillage, que DMARCbis simplifie. En sens inverse, la longue traîne — petites structures, domaines dormants, collectivités sans équipe dédiée — mettra des années à se résorber.

La direction est donc certaine ; le rythme ne l'est pas. C'est précisément pourquoi la projection honnête renvoie à la mesure : la vitesse réelle se lit dans les éditions mensuelles, relevé après relevé, plutôt que dans les pronostics.

En résumé

2026 marque un point de bascule pour DMARC : trois moteurs — exigences de Gmail, Yahoo puis Microsoft, pression de NIS2 et de DORA, publication de DMARCbis — ont comprimé en trois ans une adoption qui en promettait dix. Mais la courbe qui monte le plus vite est celle des enregistrements, pas celle des protections : partout, le p=none de conformité domine parmi les domaines équipés, et seule l'application d'une politique — quarantine, puis reject — ferme la porte à l'usurpation. Les baromètres sectoriels dessinent des écarts nets, banque en tête, secteur public local et santé en retrait, avec les mêmes schémas structurels partout. DMARCbis prépare 2027 : Tree Walk, mode test, np=, fin de pct. La mesure continue, elle, vit dans l'Observatoire — par secteur, par pays, mois après mois.

Pour situer un domaine sur cette échelle, un passage dans l'analyseur en ligne montre en quelques secondes sa position réelle : présence, validité, politique effective, sous-domaines. Et la création d'un compte ouvre la suite logique — rapports agrégés, inventaire des sources et montée par paliers vers p=reject, au rythme que l'écosystème d'envoi autorise.