Combien coûte un service DMARC (et ce qui fait le prix)

Les vrais leviers de prix

Un tarif DMARC n'est pas un chiffre unique ; c'est le produit de plusieurs variables. Les comprendre permet de prévoir la facture et de repérer une offre calibrée pour un besoin qui n'est pas le sien.

• Le nombre de domaines. C'est le levier numéro un. Surveiller un domaine ou en surveiller cinquante n'est pas le même service — chaque domaine a ses propres rapports, ses propres sources, sa propre politique. La quasi-totalité des offres facturent par palier de domaines.
• Le volume de rapports et d'e-mails. Une grande organisation qui envoie des millions de messages génère bien plus de données à parser et à stocker qu'une association qui en envoie mille par mois. Certaines offres tarifent au volume, d'autres l'incluent dans le palier de domaines.
• La durée de conservation des données. Garder l'historique des rapports trois mois ou deux ans change le coût de stockage et la valeur analytique. Une rétention longue sert l'audit, la conformité et la détection de tendances lentes ; elle se paie.
• Les fonctionnalités. L'alerting en temps réel, la boîte rua hébergée, l'assistance BIMI/VMC (afficher son logo), la gestion des rapports forensiques (RUF), l'export d'audit signé, le multi-utilisateur avec rôles : chaque brique ajoute au prix. Un besoin de pure surveillance coûte moins qu'un besoin de conformité outillé.
• Self-service ou infogéré. Un outil en libre-service, où le travail d'analyse revient à l'équipe interne avec le tableau de bord, coûte nettement moins qu'un accompagnement managé où un tiers pilote la remédiation. C'est l'arbitrage le plus structurant, détaillé dans DMARC auto-hébergé ou infogéré.
• Le niveau de support. Support communautaire, e-mail standard, ou ligne dédiée avec engagement de délai : le SLA se reflète dans le tarif.
• La durée d'engagement. Mensuel sans engagement, ou annuel avec remise : l'engagement long réduit le prix unitaire mais fige le choix.

Aucun de ces leviers n'est bon ou mauvais dans l'absolu. Le bon réflexe est de savoir lesquels comptent dans son cas et d'ignorer le reste.

Les paliers, en qualitatif

Sans citer de chiffre de marché ni de concurrent, on peut décrire quatre grandes familles d'offres. La logique de progression est presque toujours la même.

• Gratuit. Une surveillance de base pour un ou deux domaines, un tableau de bord simple, une rétention courte. Suffisant pour découvrir qui émet sous le nom du domaine et publier p=none en confiance. C'est un vrai palier, pas un piège — beaucoup de petites structures n'ont jamais besoin d'aller plus loin.
• Entrée de gamme. Quelques domaines, une rétention plus longue, l'alerting, l'accompagnement vers p=reject. C'est le palier de la PME qui prend le sujet au sérieux et veut atteindre l'application sans y passer ses soirées.
• Équipe / entreprise moyenne. Plusieurs dizaines de domaines, multi-utilisateur avec rôles, rétention alignée sur les exigences d'audit, assistance BIMI, export de conformité. Le palier des organisations avec filiales, marques multiples et obligations réglementaires.
• Grand compte / infogéré. Périmètre large, engagement de service, accompagnement managé, éventuellement souveraineté des données et hébergement dédié. Le palier où le service devient une prestation, pas un simple abonnement.

La montée d'un palier à l'autre suit des contraintes réelles — nombre de domaines, conformité, tolérance au risque — pas une envie de « prendre le plus complet ». Sur-acheter un palier est une erreur aussi coûteuse que sous-équiper un besoin sérieux.

Le coût de ne rien faire

Budgéter DMARC, c'est aussi chiffrer l'autre plateau de la balance : ce que coûte l'absence de politique appliquée. Ce coût-là est réel, même s'il est diffus.

D'abord, la délivrabilité. Depuis 2024, les grands fournisseurs — Gmail, Yahoo, Microsoft — imposent DMARC aux expéditeurs en volume ; sans authentification alignée, les messages partent en spam ou sont rejetés. Le détail de ces exigences est dans les règles Gmail et Yahoo pour les expéditeurs. Un e-mail commercial qui n'arrive pas, c'est un revenu perdu qui ne se voit nulle part dans un budget mais qui existe.

Ensuite, la fraude. Un domaine en p=none est un domaine dont n'importe qui peut usurper l'adresse pour du phishing ou de la fraude au président. Le coût d'un incident — un virement détourné, une fuite de données déclenchée par un e-mail crédible portant le nom de l'entreprise — dépasse de plusieurs ordres de grandeur n'importe quel abonnement DMARC. La logique complète de cette valeur est déroulée dans atteindre p=reject sans casser ses emails : l'application n'est pas une dépense de sécurité abstraite, c'est ce qui prive concrètement le fraudeur d'un nom de marque comme canal d'attaque.

Autrement dit, la vraie comparaison n'est pas « service DMARC contre zéro euro », mais « service DMARC contre le coût attendu d'une délivrabilité dégradée et d'une usurpation possible ». Cadré ainsi, l'entrée de gamme se justifie presque toujours pour une organisation qui envoie du courrier sérieux.

Un exemple concret à trois échelles

Prenons trois profils très différents pour voir comment la logique de coût change — sans inventer de montants présentés comme des prix de marché.

Une petite association, un domaine. Elle envoie une newsletter mensuelle et quelques e-mails de gestion depuis une seule plateforme. Son besoin : publier p=none, vérifier qu'aucun usurpateur ne se cache, puis durcir. Un palier gratuit lui suffit très probablement : un domaine, une surveillance de base, une rétention de quelques mois. Elle atteint p=reject en quelques semaines et n'a jamais besoin de payer. Ici, le coût du service est nul et c'est le bon choix — sur-acheter serait du gaspillage.

Une entreprise moyenne, une vingtaine de domaines. Elle a une marque principale, plusieurs filiales, des domaines de marque défensifs et une dizaine de prestataires d'envoi (marketing, facturation, transactionnel, RH). Son besoin change de nature : elle doit inventorier des sources dispersées, gérer plusieurs politiques en parallèle, alerter quand une filiale branche un nouvel outil, et documenter le tout pour un audit ISO ou une exigence client. Le levier « nombre de domaines » et le levier « conformité » la placent sur un palier équipe / entreprise. Le coût est réel mais modeste au regard de l'enjeu : il achète du temps d'ingénieur économisé et un risque d'usurpation fermé sur vingt portes au lieu d'une.

Une agence ou un MSP, ~200 domaines clients. Là, la logique bascule complètement. Le service n'est plus un abonnement pour son domaine, mais un outil de production pour gérer les domaines de deux cents clients. Ce qui compte devient le multi-tenant, les rôles et permissions, la facturation par client, l'automatisation de l'onboarding, et un support à la hauteur. Le prix ne se lit plus par domaine isolé mais à l'échelle du parc, souvent avec un tarif dégressif au volume et un engagement. À cette échelle, la question n'est pas « combien coûte DMARC » mais « combien de marge le service dégage face au temps qu'il fait gagner sur deux cents remédiations ». Le coût par domaine s'effondre ; la valeur, elle, se mesure en heures d'ingénieur non dépensées.

Même standard gratuit, trois structures de coût radicalement différentes — parce que ce qui s'achète n'est jamais l'enregistrement DNS, c'est l'exploitation à l'échelle de l'organisation.

Ce qu'il ne faut PAS payer

Autant certaines dépenses se justifient, autant d'autres sont des erreurs de budgétage fréquentes. À éviter :

• Payer pour publier l'enregistrement. Personne ne devrait facturer la simple mise en place du TXT _dmarc : c'est gratuit et faisable en interne. Un service se paie pour l'analyse continue, pas pour coller une ligne de DNS.
• Payer pour des domaines qui ne sont pas vraiment surveillés. Un palier calibré pour cinquante domaines quand cinq sont exploités est de l'argent jeté. Le bon calibrage suit le parc réel, quitte à monter de palier plus tard.
• Payer pour du RUF sans usage. Les rapports forensiques sont rarement envoyés par les grands fournisseurs en 2026 et soulèvent des questions RGPD. Facturer une brique « forensique » à une organisation qui n'en a pas besoin est un mauvais deal.
• Payer une rétention démesurée par défaut. Deux ans d'historique servent l'audit et la conformité ; sans aucune de ces exigences, une rétention longue ne fait que gonfler la facture pour une valeur analytique qui restera inexploitée.
• Payer un accompagnement managé pour un écosystème simple. Quand l'envoi part d'une ou deux plateformes bien identifiées, l'infogérance complète est surdimensionnée : le self-service suffit. Le sujet est traité de front dans comment choisir son outil DMARC.
• S'enfermer dans un engagement long avant d'avoir atteint p=reject. Tant que la politique n'est pas stabilisée, la souplesse du mensuel est préférable ; la réévaluation vient une fois le régime de croisière atteint.

La règle générale : on paie pour un problème réel, pas pour une case cochée sur une fiche produit.

Comment budgéter sans se tromper

La méthode saine tient en trois questions. Combien de domaines seront réellement surveillés ? — c'est le levier principal, et il se compte sur le parc réel, pas sur le parc théorique. Quel niveau de conformité est imposé ? — un audit ISO ou une exigence client tire vers le haut la rétention et l'export ; sans obligation, mieux vaut rester léger. Les compétences internes suffisent-elles à piloter la remédiation, ou faut-il déléguer ? — c'est l'arbitrage self-service contre infogéré, celui qui pèse le plus sur le prix.

Ces trois réponses posées, le palier s'impose presque de lui-même. Le piège inverse — choisir par peur, prendre « le plus complet pour être tranquille » — coûte cher pour une valeur qui restera inutilisée. DMARC bien budgété, c'est un palier qui suit le besoin, réévalué quand le parc ou les obligations changent.

En résumé

Le standard DMARC est gratuit ; le service qui l'exploite se paie, et son prix est piloté par le nombre de domaines, le volume, la rétention, les fonctionnalités, le mode self-service ou infogéré, le support et l'engagement. En face, le coût de ne rien faire — délivrabilité perdue chez Gmail et Microsoft, usurpation possible de la marque — dépasse presque toujours celui de l'entrée de gamme. Le budget se cale sur le parc réel et les obligations, pas sur une envie d'exhaustivité, et rien ne justifie de payer la publication d'un enregistrement qui se pose en interne.

Le point de départ ne coûte rien : un passage du domaine dans l'analyseur DMARC gratuit montre l'état réel des sources et le palier que le besoin réclame vraiment. Une fois le diagnostic posé, créer un compte permet de faire monter la politique vers p=reject au rythme que le budget et l'écosystème autorisent — le standard restera gratuit, et seul le travail qui, lui, a une vraie valeur se paiera.