DMARC pour les collectivités et le secteur public : un domaine que les citoyens croient sur parole

Ce que montrent les données

Ce n'est pas une intuition, c'est mesurable. Notre Observatoire DMARC suit la posture publique de domaines du secteur public, en les classant en protégés (p=reject), en application (p=quarantine), en observation seule (p=none) ou non protégés du tout. Le constat récurrent rejoint celui observé dans la finance, développé dans DMARC pour les banques : une part notable d'entités connues et fréquentées ne sont toujours pas en application, laissant leur domaine grand public usurpable au moment même où on écrit ces lignes.

L'écart est souvent le plus marqué chez les petites collectivités, mais il n'épargne pas toujours les grandes structures, qui multiplient les domaines et les sous-domaines au point de perdre la vue d'ensemble. Vérifier le domaine que les administrés voient réellement dans leur boîte — pas seulement le portail institutionnel — est le bon réflexe : c'est cette adresse que la fraude usurpera.

NIS2 rend le sujet obligatoire

Ce qui relevait hier de la bonne pratique devient une obligation. L'administration publique figure explicitement dans le périmètre de la directive NIS2, qui impose des mesures de gestion des risques cyber et engage la responsabilité des dirigeants. L'authentification email, contrôle anti-usurpation évident, auditable et peu coûteux, est l'un des premiers points qu'un contrôle regardera. Pour une collectivité concernée, porter son domaine à p=reject n'est plus une option de confort mais une exigence de conformité — et une protection concrète des administrés.

Au-delà de NIS2, l'authentification email figure de longue date parmi les recommandations d'hygiène numérique portées par les autorités nationales de cybersécurité pour le secteur public. La convergence est nette : recommandations d'hygiène, obligation réglementaire et exigences des grands fournisseurs de messagerie pointent toutes vers la même cible, p=reject. Une collectivité qui s'y met aujourd'hui ne fait qu'anticiper une exigence qui deviendra, partout, la norme minimale attendue d'un service public numérique digne de confiance — autant s'y prendre au calme plutôt que dans l'urgence d'un contrôle ou, pire, d'un incident déjà survenu.

La marche à suivre pour une collectivité

La séquence est celle de tout expéditeur, adaptée aux réalités du secteur public :

1. Diagnostiquer. Le point de départ est un test gratuit du domaine principal et des domaines de service. Le verdict tombe immédiatement, sans rien à installer.
2. Publier DMARC en p=none pour observer. Les rapports agrégés révèlent l'intégralité des sources qui émettent au nom de la collectivité : logiciel métier, plateforme de démarches en ligne, prestataire d'envoi, outil de newsletter. Il y en a toujours plus qu'on ne croit.
3. Aligner chaque source légitime en SPF et DKIM, en s'appuyant sur les prestataires — la plupart documentent la marche à suivre.
4. Monter en politique vers quarantine puis reject, en surveillant les rapports. La méthode est dans atteindre p=reject sans casser ses emails.
5. Verrouiller les domaines et sous-domaines dormants. Beaucoup de collectivités détiennent d'anciens domaines ou des sous-domaines qui n'envoient rien mais restent usurpables. La balise np de DMARCbis les ferme d'un coup, sans risque pour le courrier légitime.

La mutualisation est un levier puissant ici : une intercommunalité, un syndicat informatique ou un prestataire peut porter la démarche pour plusieurs communes à la fois, transformant un problème répété en un chantier unique.

Le cas des communes sans site ni messagerie

Un angle mort massif du secteur public : d'innombrables petites communes n'ont ni site web, ni messagerie sur leur propre nom de domaine — et quand elles possèdent un domaine, il dort sans rien envoyer. On pourrait croire ces domaines sans risque, puisqu'ils ne servent à rien. C'est l'inverse : un domaine qui n'envoie aucun courrier légitime est un domaine que personne ne surveille, et qu'un attaquant peut usurper sans jamais entrer en conflit avec un vrai flux. Une mairie qui n'envoie jamais d'email est paradoxalement une cible facile, parce que rien ne trahit la fraude côté expéditeur légitime.

La parade est simple et peu coûteuse : même un domaine dormant devrait publier une politique DMARC en p=reject explicite, déclarant qu'aucun courrier légitime n'en sort. Avec DMARCbis, la balise np verrouille en prime les sous-domaines inexistants. Pour les communes qui n'ont pas encore de domaine du tout, en réserver un et le placer d'emblée en reject protège le nom avant même le premier usage — une décision de quelques minutes qui ferme durablement une porte.

Un exemple : la fausse démarche administrative

Prenons une intercommunalité dont le domaine grand public est resté en p=none. Un attaquant envoie aux administrés un email affichant l'adresse authentique du service, annonçant un « trop-perçu à rembourser » et renvoyant vers un formulaire de saisie de coordonnées bancaires. Le message porte le nom de la collectivité, arrive dans un contexte plausible, et une fraction des destinataires s'exécute. Les fonds partent, les données fuitent, et la collectivité découvre l'affaire par les plaintes.

Le même email, domaine en p=reject, n'aurait jamais atteint les boîtes : rejeté à la remise faute d'authentification alignée. La bascule de l'observation à l'application est, là encore, ce qui sépare un domaine qui documente sa propre usurpation d'un domaine qui la refuse.

Mutualiser à l'échelle d'un territoire

La force du secteur public, face à cette exposition, c'est qu'il peut répondre collectivement. Un syndicat mixte informatique, une intercommunalité ou un opérateur public de services numériques peut porter la démarche DMARC pour des dizaines de communes à la fois : même diagnostic, mêmes prestataires d'envoi, mêmes recettes de configuration. Ce qui serait un projet infaisable commune par commune devient un chantier unique et répétable à l'échelle d'un territoire — la meilleure réponse au problème de moyens qui caractérise le secteur.

Cette logique vaut aussi pour la montée en compétence : une fois qu'une équipe territoriale a mené un premier domaine de bout en bout, de p=none à p=reject, elle détient une recette qu'elle applique ensuite en série, chaque nouvelle collectivité prenant moins de temps que la précédente. L'investissement initial se rentabilise sur tout le parc.

Vérifier une collectivité — ou n'importe quelle administration

Savoir où en est une administration donnée prend quelques secondes : son domaine passé dans notre analyse DMARC gratuite donne un verdict instantané, et l'Observatoire DMARC permet d'en comparer tout un ensemble d'un coup d'œil. Le même risque frappe d'autres secteurs à forte confiance publique, à commencer par la santé, qui partage les mêmes causes et les mêmes remèdes. Et pour comprendre le mécanisme d'attaque que tout cela referme, empêcher le phishing avec son nom de domaine en donne la vue d'ensemble.

Porter un parc public multi-domaines à p=reject sans équipe dédiée est exactement ce que Thomas, le RSSI virtuel, est conçu pour rendre accessible : il nomme chaque source d'envoi, génère le DNS à publier, évalue la préparation par domaine et indique quand chacun peut être appliqué sans risque. Analyser un domaine gratuitement · explorer l'Observatoire · démarrer avec Thomas.