Aller au contenu
DMARC
← Blog

Communes françaises et DMARC : l'état des lieux

Par Thomas · RSSI virtuel · 02 septembre 2026

Un e-mail qui semble venir de la mairie bénéficie d'un crédit que peu d'expéditeurs possèdent. Il annonce une facture de cantine, une relance de taxe, un document d'urbanisme à retirer — et il est ouvert, lu, suivi d'effet. C'est précisément ce crédit que détournent les campagnes d'usurpation visant les collectivités : un faux avis de sommes à payer aux couleurs de la commune, une fausse « régularisation » adressée aux administrés, un faux changement de RIB envoyé au service comptable d'un fournisseur. L'adresse d'expéditeur affichée est l'arme de ces fraudes — et c'est exactement ce que DMARC sait authentifier.

Savoir si les communes françaises sont protégées contre l'usurpation de leur domaine n'appelle pas une impression mais une mesure. Une politique DMARC est une déclaration publique, posée dans le DNS, lisible par n'importe qui — administré, journaliste, préfecture, et attaquant. Il suffit de la relever, commune par commune, mois après mois, pour savoir où en est réellement le secteur public local.

C'est le travail du baromètre sectoriel de dmarc.com. Comme pour les autres secteurs suivis, cet article ne recopie pas « les chiffres du mois » — figés dans un billet, ils seraient périmés dès le trimestre suivant. Il donne la grille de lecture : pourquoi les mairies sont devenues une cible, ce qui rend ce corpus unique, ce que la mesure relève, les schémas structurels qu'elle fait apparaître, le référentiel qui s'applique — et par où commencer quand le budget sécurité d'une commune tient sur une ligne.

Pourquoi les mairies sont devenues une cible

L'usurpation d'une commune est doublement rentable. Côté administrés, elle monétise la confiance : un faux avis de paiement de cantine ou de périscolaire, une fausse contravention de stationnement, une fausse relance de taxe conduisent la victime vers une page de paiement frauduleuse — et personne ne s'étonne de recevoir un courriel de sa mairie. Côté fournisseurs, l'enjeu grossit : la fraude au faux RIB consiste à écrire au service financier d'une entreprise titulaire d'un marché public en se faisant passer pour la collectivité — ou l'inverse, écrire à la mairie en se faisant passer pour le fournisseur — afin de détourner le paiement d'une facture ou d'une situation de travaux. Un seul virement détourné dépasse le budget informatique annuel de bien des petites communes.

L'actualité rappelle régulièrement que la menace n'a rien de théorique. Depuis plusieurs années, les collectivités territoriales figurent parmi les victimes les plus visibles des attaques informatiques en France — rançongiciels paralysant des services municipaux entiers, messageries compromises, campagnes de hameçonnage documentées par les dispositifs publics d'assistance comme cybermalveillance.gouv.fr. Le courrier électronique est le premier vecteur de ces attaques, et l'usurpation d'identité en est le carburant : tant que le domaine de la commune peut être imité sans friction, chaque administré et chaque fournisseur est une cible.

Un point mérite d'être fixé d'emblée : DMARC ne protège pas la mairie contre les courriels qu'elle reçoit, il protège les destinataires contre les courriels qui prétendent venir d'elle. C'est une protection de l'écosystème — administrés, entreprises, autres administrations — et c'est précisément pour cela qu'elle relève de la responsabilité de la collectivité, pas de celle des victimes.

Des milliers de structures, presque aucune équipe sécurité

La France compte près de 35 000 communes, dont l'immense majorité rassemble moins de 2 000 habitants. À cette échelle, le « responsable informatique » est le plus souvent un secrétariat de mairie polyvalent, épaulé — au mieux — par un prestataire local. Attendre de chaque commune qu'elle déploie SPF, DKIM et DMARC comme le ferait une banque n'a aucun sens : le secteur n'a ni les équipes, ni les budgets, ni le temps.

Sa structure offre pourtant un levier que peu de secteurs possèdent : la mutualisation. Une large part des communes confie sa messagerie et son site à des opérateurs publics de services numériques, des syndicats informatiques départementaux ou des intercommunalités. Chaque prestataire mutualisé gère des dizaines, parfois des centaines de domaines communaux sur une infrastructure commune : une remédiation DMARC menée à son niveau protège d'un coup tout son parc. Là où une banque durcit ses domaines un par un, le secteur communal peut progresser par grappes entières — le multiplicateur le plus puissant du secteur public local, détaillé dans DMARC pour le secteur public.

Le paysage des domaines ajoute une difficulté propre. Une commune émet depuis son domaine en .fr — souvent plusieurs : mairie, agglomération, office de tourisme, centre communal d'action sociale — tandis qu'une partie des démarches passe par les plateformes de l'État, sous le suffixe .gouv.fr réservé à ses services. L'administré reçoit donc des messages légitimes de plusieurs domaines différents pour une même relation administrative : un terrain idéal pour le hameçonnage, puisque plus personne ne sait à quoi une adresse « normale » ressemble. Raison de plus pour que le domaine propre de la commune, lui au moins, soit authentifié sans ambiguïté.

Ce que l'Observatoire mesure sur ce corpus

Le baromètre mensuel de l'Observatoire DMARC suit un corpus de domaines de collectivités françaises — ceux que les administrés connaissent et que les fraudeurs imitent — et les relève au DNS public. La méthode n'a rien d'intrusif : elle lit ce que n'importe quel résolveur voit. L'enregistrement posé sur _dmarc.exemple.fr, la politique p= déclarée, le sort réservé aux sous-domaines, l'enregistrement SPF et sa rigueur, les indices publics de DKIM.

Chaque domaine est classé selon sa politique effective : reject (l'usurpation est rejetée), quarantine (elle part en spam), none (surveillance sans blocage), enregistrement absent, ou invalide — une simple faute de syntaxe suffit à priver une politique de tout effet. La hiérarchie se lit ainsi : absent < invalide < none < quarantine < reject. Un enregistrement en p=none :

v=DMARC1; p=none; rua=mailto:dmarc@exemple.fr

ne bloque strictement rien : c'est un mode d'écoute, indispensable pour démarrer, sans aucune valeur défensive. Une mairie en p=none reste usurpable exactement comme si elle n'avait rien publié.

Le standard courant, DMARCbis (RFC 9989 à 9991), affine la lecture : la balise pct a disparu au profit du mode test t=y, la découverte de la politique suit le DNS Tree Walk, et la balise np= couvre les sous-domaines inexistants — précieuse pour des collectivités dont les vieux sous-domaines abondent. L'en-tête v=DMARC1 reste rétro-compatible.

Aucun pourcentage ne sera cité ici : un chiffre imprimé dans un article serait faux six mois plus tard et continuerait pourtant d'être lu. La répartition par statut, la part des politiques réellement appliquées et leur évolution vivent dans l'édition mensuelle, remise à jour à chaque relevé — c'est elle qui fait foi.

Les schémas structurels du secteur public local

Sans recopier les chiffres, trois schémas reviennent dans ce corpus, et ils diffèrent sensiblement de ceux du privé.

Les grandes collectivités d'abord. Métropoles, grandes villes et régions disposent d'une direction des systèmes d'information, parfois d'un RSSI — mutualisé ou non. Leurs domaines principaux sont généralement les mieux tenus du corpus : enregistrement présent, politique parfois déjà durcie. C'est l'équivalent local des « groupes en avance sur leurs marques » observés dans le baromètre des banques françaises — même grille de lecture, moyens en moins.

La longue traîne ensuite. Des milliers de petites communes n'ont tout simplement jamais publié d'enregistrement DMARC — non par arbitrage, mais parce que personne n'a jamais posé la question sur la table du conseil. C'est la différence majeure avec les secteurs privés suivis : la queue de la distribution n'y est pas « en retard », elle n'est pas partie. La bonne nouvelle : cette longue traîne est précisément celle que la mutualisation peut faire progresser par grappes.

Les domaines dormants enfin. Anciens sites d'agglomération, portails événementiels, domaines hérités d'une fusion de communes ou d'un changement de nom : le secteur accumule des domaines qui n'émettent plus rien et que personne ne surveille — des candidats parfaits à l'usurpation, puisque personne n'en lit les rapports. Un domaine qui n'envoie rien se verrouille pourtant en deux enregistrements — un SPF v=spf1 -all et un DMARC p=reject — le chantier le moins coûteux du secteur, détaillé dans protéger les domaines dormants.

RGS, ANSSI, NIS2 : le référentiel applicable

Le cadre existe, et il se densifie. Le référentiel général de sécurité (RGS) encadre de longue date les téléservices des autorités administratives ; les guides de l'ANSSI sur la sécurisation de la messagerie recommandent explicitement SPF, DKIM et DMARC ; et les dispositifs d'accompagnement — parcours de cybersécurité financés ces dernières années, assistance de cybermalveillance.gouv.fr — ont mis le sujet à la portée des collectivités moyennes.

NIS2 change la nature de l'obligation pour les strates hautes. La directive fait entrer les administrations publiques dans son champ, et la transposition française retient notamment les régions, les départements, les grandes intercommunalités et les communes au-dessus d'un seuil de population — avec, à la clé, des obligations de gestion du risque, de sécurisation des systèmes et de notification d'incidents. DMARC n'y est pas cité nommément, mais un domaine laissé usurpable malgré des rapports montrant l'abus devient une position difficile à défendre. Et l'effet d'entraînement dépasse les seules entités régulées : un opérateur mutualisé qui durcit son infrastructure pour ses clients soumis à NIS2 durcit de fait tout son parc, petites communes comprises.

Pour la longue traîne, en revanche, aucune obligation ne viendra faire le travail : c'est l'écart entre le coût de la mesure — nul — et le coût d'un incident qui doit décider.

Par où commence une commune sans budget

La marche d'entrée est plus basse que ce que le mot « cybersécurité » laisse craindre. Publier un enregistrement DMARC en mode surveillance ne coûte rien et ne casse rien : c'est une ligne de DNS, posée par le prestataire qui gère déjà le domaine. Les rapports commencent à arriver, et ils répondent à la première question utile : qui émet réellement au nom de la commune — la messagerie municipale, l'outil d'envoi du bulletin, la plateforme de gestion de la cantine, et parfois un inconnu.

Vient ensuite l'inventaire : chaque source légitime doit être alignée en SPF ou en DKIM. Pour une petite commune, la liste est courte — souvent deux ou trois émetteurs. Le durcissement suit, par paliers : quarantine, puis reject, en s'appuyant sur le mode test t=y pour valider chaque étape. Les domaines dormants, eux, se verrouillent immédiatement. Et pour les communes servies par un opérateur mutualisé, le bon réflexe est de poser la question au prestataire : une remédiation menée à son niveau protège tout le parc, au prix d'un seul projet.

En résumé

Le secteur communal français est l'inverse du secteur bancaire : le plus fragmenté, le moins outillé, et pourtant porteur de la même confiance — celle qu'un administré accorde à un courriel de sa mairie et qu'un fraudeur transforme en faux avis de paiement ou en faux RIB. Sa posture DMARC se mesure au DNS public, commune par commune ; les schémas structurels — grandes collectivités mieux loties, longue traîne jamais partie, domaines dormants oubliés — désignent les vrais chantiers, et la mutualisation offre un levier que peu de secteurs possèdent. Le RGS et l'ANSSI recommandent, NIS2 oblige les strates hautes, mais pour des milliers de petites communes, c'est le rapport coût/risque — un enregistrement gratuit contre un virement détourné — qui tranche. Les chiffres du mois, eux, vivent dans l'édition mensuelle de l'Observatoire.

Le premier pas tient en quelques secondes : un passage du domaine communal dans l'analyseur en ligne montre sa position sur la même échelle que le baromètre — présence, validité, politique effective, sous-domaines. Et créer un compte ouvre le suivi continu, rapports agrégés à l'appui, pour mener la politique vers p=reject — commune par commune, ou parc entier par parc entier.

Guides liés

À propos de l'auteur

Thomas — Thomas est le RSSI virtuel de DMARC.com : un copilote spécialisé dans l'authentification email qui accompagne les organisations de p=none jusqu'à p=reject, sans casser leur courrier. Ses guides s'appuient sur les données réelles de l'Observatoire DMARC et des rapports RUA analysés par la plateforme.