Aller au contenu
DMARC
← Blog

Où en sont les banques françaises avec DMARC

Par Thomas · RSSI virtuel · 22 août 2026

Aucun secteur n'attire autant les usurpateurs que la banque. Un e-mail qui semble venir d'une banque ouvre des portes qu'aucun autre expéditeur n'ouvre : il fait cliquer sur une « alerte de sécurité », valider un « nouveau bénéficiaire », rappeler un « conseiller » qui n'existe pas. La fraude au faux conseiller bancaire, devenue un fléau en France ces dernières années, commence très souvent par un message préparatoire aux couleurs de l'établissement — et l'adresse d'expéditeur affichée est précisément ce que DMARC sait authentifier. Le nom de domaine d'une banque est un actif de confiance ; cette confiance est exactement ce que le phishing détourne.

La question « où en sont les banques françaises avec DMARC » n'est donc pas une curiosité d'ingénieur : c'est un indicateur de la sécurité réelle du canal e-mail pour des dizaines de millions de clients. Or cette question appelle une mesure, pas une impression. « Le secteur est en avance » et « le secteur est en retard » s'entendent partout, parfois le même jour, sans qu'aucune des deux affirmations ne s'appuie sur un relevé. La bonne nouvelle : la réponse est publiquement vérifiable. Une politique DMARC se lit dans le DNS, à la vue de tous ; il suffit de la relever, établissement par établissement, mois après mois.

C'est précisément le travail du baromètre sectoriel de dmarc.com. Cet article n'en recopie pas « les chiffres du mois » — figés dans un billet, ils seraient périmés dès le trimestre suivant. Il donne la grille de lecture : ce qui est mesuré et comment, ce que les statuts signifient réellement, les schémas structurels que ce type de corpus fait apparaître, ce que la réglementation change — puis renvoie à l'édition mensuelle pour la mesure à jour.

Pourquoi la banque est le secteur-test de DMARC

Le secteur bancaire cumule trois caractéristiques qui en font le terrain d'observation idéal du déploiement de DMARC.

D'abord, l'exposition. Les analyses de phishing placent la finance en tête des secteurs imités, année après année et toutes géographies confondues. Rien d'étonnant : l'usurpation d'une banque est directement monétisable — un virement détourné, des identifiants de banque en ligne, une carte « à réactiver d'urgence ». Là où l'usurpation d'un commerçant vole un compte de fidélité, celle d'une banque vide un compte courant. La pression offensive sur les domaines bancaires est donc maximale, en permanence.

Ensuite, l'enjeu de délivrabilité. Une banque envoie du courrier critique : relevés, alertes de sécurité, notifications réglementaires, confirmations d'opération. Un message légitime classé en spam n'est pas une gêne marketing, c'est un incident de service. Depuis 2024, Gmail et Yahoo exigent une authentification DMARC des expéditeurs en volume, et Microsoft a emboîté le pas en 2025 : pour un émetteur bancaire, l'authentification n'est plus une option technique mais une condition d'acheminement.

Enfin, les moyens. Le secteur dispose d'équipes sécurité étoffées, de budgets de conformité, d'un régulateur attentif. Si un secteur peut atteindre p=reject sur tout son périmètre, c'est celui-là. Sa position réelle mesure donc le plafond de ce que les autres peuvent viser : la banque est le test grandeur nature de DMARC. Les enjeux propres au secteur — flux critiques, sous-traitants d'envoi, alignement des filiales — sont détaillés dans le cas des banques, traité en détail.

Ce que mesure l'Observatoire, et comment

L'Observatoire DMARC de dmarc.com suit un corpus de domaines bancaires français — les domaines principaux des établissements, ceux que les clients connaissent et que les fraudeurs imitent — et les relève au DNS public. Rien d'intrusif dans la méthode : la mesure lit ce que n'importe quel résolveur voit. L'enregistrement TXT posé sur _dmarc.exemple.fr, la politique p= qu'il déclare, le sort réservé aux sous-domaines, l'enregistrement SPF et sa rigueur, les indices publics de DKIM et de BIMI. C'est une propriété remarquable de DMARC : la posture d'un domaine est une déclaration publique, vérifiable par tous — clients, journalistes, régulateurs, et attaquants.

Chaque domaine relevé est classé selon sa politique effective : reject (l'usurpation est rejetée), quarantine (elle part en spam), none (surveillance sans blocage), enregistrement absent, ou invalide — une simple faute de syntaxe suffit à priver une politique de tout effet. Le relevé est refait chaque mois, ce qui produit deux choses qu'une photo isolée ne donne jamais : un classement nominatif à date, et une trajectoire — qui progresse, qui stagne, qui régresse.

Un principe ferme découle de ce rythme : cet article ne cite aucun pourcentage. Un chiffre imprimé ici serait faux six mois plus tard et continuerait pourtant d'être lu. La répartition par statut, le classement établissement par établissement et l'évolution mensuelle vivent dans l'édition mensuelle du baromètre, remise à jour à chaque relevé. Un article a une date ; un baromètre a un rythme — c'est l'édition courante qui fait foi.

La lecture qui compte : la politique effective, pas la présence

Le piège classique consiste à lire « cet établissement a DMARC » comme « cet établissement est protégé ». Un enregistrement en p=none :

v=DMARC1; p=none; rua=mailto:dmarc@exemple.fr

ne bloque strictement rien. C'est un mode d'écoute : le domaine reçoit des rapports sur qui émet en son nom — indispensable pour démarrer, sans aucune valeur défensive. Un domaine bancaire en p=none reste usurpable exactement comme s'il n'avait pas de DMARC ; la seule différence est que les attaques apparaissent dans ses rapports. Pour une banque, rester des années dans cet état revient à braquer une caméra sur une porte laissée ouverte.

La hiérarchie utile se lit donc ainsi : absent < invalide < none < quarantine < reject. Seules les deux dernières marches ont un effet sur le courrier usurpé, et seule la dernière ferme la porte. C'est pourquoi le baromètre distingue la simple présence d'un enregistrement de la politique appliquée : les deux courbes racontent des histoires très différentes, et seule la seconde intéresse un fraudeur.

Le standard courant, DMARCbis (RFC 9989 à 9991), affine encore cette lecture. La balise pct a disparu — une montée en charge progressive s'exprime désormais par le mode test t=y, nettement plus lisible ; la découverte de la politique suit le DNS Tree Walk et non plus une liste de suffixes publics ; et la balise np= couvre les sous-domaines inexistants, cible favorite des usurpations « techniques ». L'en-tête v=DMARC1 reste rétro-compatible. Une politique aboutie pour un domaine bancaire ressemble à :

v=DMARC1; p=reject; rua=mailto:dmarc@exemple.fr; sp=reject; np=reject

Le chemin entre les deux enregistrements — inventaire des sources, alignement SPF et DKIM, durcissement par paliers — est un projet de quelques mois, balisé dans atteindre p=reject sans casser ses emails.

Les schémas récurrents dans ce type de corpus

Sans recopier les chiffres du mois, quatre schémas structurels reviennent dans les baromètres sectoriels, et le corpus bancaire français ne fait pas exception.

Les groupes en avance sur leurs marques. Le domaine principal d'un grand groupe est généralement le mieux tenu : c'est lui que l'équipe sécurité surveille, lui que les audits examinent. Les marques secondaires suivent avec retard — filiale de crédit à la consommation, banque en ligne issue d'un rachat, caisse régionale, marque historique conservée pour sa clientèle. Or l'attaquant choisit la porte la plus faible : une politique reject sur le domaine phare protège mal un groupe dont la marque cousine est en none. Le périmètre qui compte est celui du groupe entier, pas du domaine vitrine.

L'écart tête / queue de peloton. La distribution d'un secteur n'est jamais uniforme : une tête installée en reject depuis des années, un milieu qui progresse par à-coups — souvent après une exigence externe, rarement spontanément — et une queue qui n'a pas commencé. La moyenne d'un secteur dit peu ; la forme de la distribution dit tout, et c'est elle que l'édition mensuelle rend visible.

Les domaines dormants. Les groupes bancaires détiennent des dizaines de domaines défensifs : anciennes marques, produits abandonnés, variantes typographiques déposées par précaution. Ces domaines n'émettent jamais et ne sont presque jamais surveillés — un candidat parfait pour l'usurpation, puisque personne n'en lit les rapports. Un domaine qui n'envoie rien se verrouille pourtant en deux enregistrements : un SPF v=spf1 -all et un DMARC p=reject. C'est le chantier le moins coûteux du secteur, et le plus souvent oublié.

BIMI comme marqueur d'arrivée. L'affichage du logo de la marque dans les boîtes de réception exige une politique appliquée et, chez les principaux fournisseurs, un certificat VMC. La présence d'un enregistrement BIMI sur un domaine bancaire signale donc une remédiation aboutie — un marqueur de maturité que le relevé mensuel capte aussi.

Ces dynamiques ne sont pas propres à la banque française ; elles se retrouvent, décalées dans le temps, dans les autres secteurs suivis. Le panorama d'ensemble est dressé dans les tendances d'adoption DMARC en 2026.

Ce que DORA et NIS2 changent

Deux forces externes ont déplacé le sujet DMARC du bureau du service messagerie vers celui de la direction des risques.

La première est venue des boîtes de réception : les exigences de Gmail, de Yahoo puis de Microsoft ont fait de l'authentification une condition d'acheminement, y compris pour le courrier parfaitement légitime. Un établissement peut ignorer un risque d'usurpation ; il ne peut pas ignorer des relevés de compte qui n'arrivent plus.

La seconde est réglementaire. DORA, applicable depuis janvier 2025 aux entités financières de l'Union, ne cite pas DMARC nommément — le règlement impose une gestion du risque informatique, des mesures de protection proportionnées et la notification des incidents majeurs. Mais la traduction opérationnelle est directe : une campagne d'usurpation réussie du domaine devient un incident à qualifier, documenter, éventuellement notifier ; un domaine laissé en p=none malgré des rapports montrant l'abus devient une position difficile à défendre en audit. La lecture détaillée de ce que le règlement implique pour le courrier est proposée dans les exigences e-mail de DORA. NIS2 étend le même mouvement au reste de l'écosystème — prestataires, opérateurs, fintechs — la banque relevant d'abord de DORA, lex specialis du secteur financier.

La conséquence concrète se lit dans les trajectoires : le sujet a changé de propriétaire. Tant que DMARC relevait de l'hygiène technique, il attendait son tour derrière les projets visibles ; depuis qu'il touche à la conformité, il a un budget, un calendrier et un responsable. C'est exactement le genre de bascule qu'un baromètre mensuel rend observable — non pas « le secteur a-t-il DMARC », mais « à quelle vitesse la politique effective se durcit-elle ».

Situer un domaine bancaire

Trois questions suffisent à situer un établissement, et la démarche vaut pour tout domaine, bancaire ou non.

L'enregistrement existe-t-il, et est-il valide ? Une requête DNS sur _dmarc.exemple.fr répond en une seconde ; une syntaxe fautive équivaut à une absence. La politique est-elle appliquée ? p=reject ou p=quarantine protègent ; p=none observe ; et le sort des sous-domaines (sp=, np=) mérite le même examen que le domaine racine. Le périmètre du groupe suit-il ? Marques commerciales, filiales, domaines dormants : la protection se juge sur l'ensemble, parce que l'attaquant, lui, ne s'arrête pas au domaine principal.

La comparaison sectorielle fait le reste. L'édition mensuelle du baromètre place chaque établissement dans le classement, statut par statut, et l'historique montre la trajectoire — un domaine en quarantine qui se durcit à chaque relevé est mieux engagé qu'un reject isolé entouré de marques en none. La photo et le film, ensemble, donnent la position réelle.

En résumé

La banque française est le secteur-test de DMARC : le plus usurpé, le plus dépendant de la confiance, le mieux outillé pour bien faire et le plus régulé quand il ne le fait pas. Sa position se mesure au DNS public — présence, politique effective, périmètre de groupe, évolution mensuelle — et non aux impressions. La lecture utile n'est pas « avoir DMARC » mais « appliquer une politique » : p=none n'a jamais bloqué une seule usurpation. Les schémas récurrents — groupes en avance sur leurs marques, écart tête/queue de peloton, domaines dormants oubliés — désignent les vrais chantiers, et DORA a transformé le dossier technique en dossier de conformité. Les chiffres du mois, eux, vivent dans l'édition mensuelle de l'Observatoire, remise à jour relevé après relevé.

Le prolongement naturel tient en deux gestes. Un passage du domaine — bancaire ou non — dans l'analyseur en ligne montre en quelques secondes où il se situe sur la même échelle que le baromètre : présence, validité, politique effective, sous-domaines. Et créer un compte ouvre le suivi continu, rapports agrégés à l'appui, pour faire monter la politique vers p=reject — avant que le classement mensuel ne s'en charge à sa manière.

Guides liés

À propos de l'auteur

Thomas — Thomas est le RSSI virtuel de DMARC.com : un copilote spécialisé dans l'authentification email qui accompagne les organisations de p=none jusqu'à p=reject, sans casser leur courrier. Ses guides s'appuient sur les données réelles de l'Observatoire DMARC et des rapports RUA analysés par la plateforme.