Comment le protocole DMARC aide les propriétaires de domaines japonais à prouver leur conformité
Le cadre réglementaire japonais évolue rapidement pour s'adapter aux réalités des menaces modernes liées aux e-mails. Grâce à la visibilité et au contrôle offerts par le protocole DMARC, les organisations japonaises peuvent démontrer leur conformité aux lois sur la protection des données et aux politiques de lutte contre le phishing, renforçant ainsi la confiance au sein des administrations publiques, des infrastructures critiques et du secteur privé.
Le Japon dispose depuis longtemps d'une solide base de confiance numérique, forgée grâce à des pratiques institutionnelles rigoureuses, à une culture de la responsabilité et à un engagement commun en faveur de la sécurité des communications. Cette base est aujourd’hui mise à l’épreuve.
Bien que la complexité de la langue japonaise écrite offre un rempart naturel contre les e-mails frauduleux, cet avantage a largement disparu. La génération de contenu par l'IA permet aux cybercriminels de produire, à grande échelle, des textes en japonais fluides et convaincants, éliminant ainsi les indices linguistiques qui permettaient autrefois de repérer les fraudes. En mai 2025, plus de 80 % des e-mails frauduleux dans le monde visaient le Japon.
Les conséquences sont quantifiables : les pertes liées aux virements bancaires en ligne frauduleux ont atteint le chiffre record de 10,4 milliards de yens en 2025, le phishing représentant 90 % des cas, soit un total record de 2,45 millions d'incidents, soit 730 000 de plus que l'année précédente. À elles seules, les pertes subies par les entreprises ont quadruplé d'une année sur l'autre pour atteindre 4,7 milliards de yens, et le nombre de sites web frauduleux signalés a dépassé le million pour la première fois.
La réponse du Japon a été mûrement réfléchie et structurelle. Grâce à une nouvelle législation, à la mise à jour des normes gouvernementales et à une coordination interinstitutionnelle, le Japon met en place une stratégie proactive en matière de cybersécurité, dans laquelle les organisations qui envoient des e-mails pour le compte d’autres entités assument une responsabilité claire. Le protocole DMARC joue un rôle central dans l’exercice de cette responsabilité.
Le paysage réglementaire japonais et DMARC
Orientations du METI et du secteur financier
Le ministère de l'Économie, du Commerce et de l'Industrie (METI) a demandé aux sociétés émettrices de cartes de crédit de mettre en œuvre le protocole DMARC dans le cadre du programme japonais 3D Secure, un dispositif qui s'apparente à la norme PCI DSS en matière de sécurité des transactions par carte de paiement. Le METI a étendu ces exigences aux fabricants de semi-conducteurs, en intégrant le protocole DMARC dans les conditions de transaction afin de lutter contre l'usurpation d'adresse e-mail et de protéger l'intégrité de la chaîne d'approvisionnement.
Normes applicables à l'ensemble de l'administration
Les normes communes japonaises relatives aux mesures de cybersécurité pour les administrations publiques et les organismes associés mentionnent explicitement le protocole DMARC comme mesure de contrôle recommandée contre les e-mails usurpés pour les entités de l'administration centrale et les organismes associés. Dans la pratique, les administrations et les fournisseurs opérant au sein de l'écosystème gouvernemental peuvent invoquer le déploiement du protocole DMARC comme preuve technique vérifiable de la mise en place de contrôles, y compris lorsque la documentation fait référence de manière générique à des « mesures de lutte contre l'usurpation d'identité ».
Pour les domaines officiels .go.jp , le protocole DMARC réduit le risque que les marques gouvernementales soient utilisées à des fins malveillantes contre les citoyens qu'elles servent.
APPI et règles sectorielles
La loi japonaise sur la protection des informations personnelles (APPI) impose aux organisations de prendre les « mesures nécessaires et appropriées » pour prévenir toute fuite, perte ou altération des données à caractère personnel, notamment celles résultant de cyberattaques et de fraudes. Le protocole DMARC soutient directement cette obligation de diligence en réduisant l'usurpation d'identité de domaine qui conduit au vol d'identifiants et à la compromission des données à caractère personnel. Le déploiement des contrôles d'authentification des e-mails SPF, DKIM et DMARC démontre qu'une organisation ne fait pas preuve de négligence dans la protection de ses clients contre les e-mails frauduleux.
Exigences relatives aux fournisseurs de messagerie
Les fournisseurs de messagerie électroniques internationaux et nationaux, notamment Google, Yahoo, Yahoo Japan, Apple et Microsoft, exigent désormais que les grands expéditeurs se conforment au protocole DMARC. LINE Yahoo a clairement expliqué ce changement :
Afin de garantir une utilisation sûre et sécurisée de Yahoo! Mail, nous recommandons aux expéditeurs d'e-mails de mettre en place une authentification du domaine d'origine. Les e-mails qui ne mettent pas en œuvre et ne passent pas l'authentification SPF, DKIM ou DMARC peuvent être classés comme spam ou rejetés. Nous renforcerons nos mesures de lutte contre l'usurpation d'identité et le phishing en mettant en œuvre l'authentification de l'expéditeur pour les e-mails envoyés depuis Yahoo! JAPAN lors de l'utilisation de Yahoo! Auctions et Yahoo! Wallet. Nous prévoyons également d'encourager les banques, les sociétés de cartes de crédit et d'autres organisations à adopter la technologie d'authentification du domaine de l'expéditeur, afin de maximiser la prévention du vol d'informations personnelles par e-mail.
Cela témoigne d'un engagement plus large du secteur visant à faire de DMARC la norme de référence dans l'ensemble de l'écosystème numérique japonais.
Agence nationale de police
L'Agence nationale de police du Japon a identifié le protocole DMARC comme un moyen de lutte efficace contre les e-mails frauduleux et collabore activement avec des organismes partenaires pour en promouvoir l'adoption au niveau d'application le plus strict — un p=reject — qui ordonne aux serveurs de messagerie destinataires de bloquer purement et simplement les e-mails non authentifiés.
Loi sur la cyberdéfense active et DMARC
La loi japonaise sur la cyberdéfense active (ACD), promulguée en mai 2025, impose de nouvelles obligations aux organismes publics et aux réseaux d'entreprise. Le protocole DMARC s'aligne naturellement sur les exigences fondamentales suivantes de l'ACD :
Surveillance du trafic: ACD impose une surveillance continue du trafic réseau afin de détecter les menaces. Les rapports DMARC offrent précisément ce type de visibilité pour les e-mails, fournissant aux équipes de sécurité une vue structurée et continue à la fois de l'activité d'envoi légitime et des comportements suspects sur l'ensemble de leurs domaines. Les menaces peuvent ainsi être identifiées et isolées grâce aux preuves déjà disponibles.
Signalement des incidents dans les 24 heures: L'ACD impose aux opérateurs d'infrastructures critiques de signaler les incidents cybernétiques dans les 24 heures suivant leur détection. L'infrastructure de signalement DMARC fournit les données détaillées, horodatées et au niveau du domaine dont les équipes de sécurité ont besoin pour reconstituer rapidement les événements de phishing et d'usurpation d'identité, afin de faciliter à la fois la réponse interne et la documentation requise pour la divulgation réglementaire.
Pour que le gouvernement puisse mettre en place des mesures de protection plus efficaces, il est essentiel que chaque entreprise adopte des technologies standard telles que DMARC et veille à l'intégrité de ses propres domaines ; c'est là une condition préalable pour garantir l'efficacité du cadre juridique. Bien qu'il ait été constaté que les taux d'adoption de DMARC au Japon sont à la traîne par rapport à ceux de l'Europe et des États-Unis, il ne fait aucun doute que cette adoption s'accélérera encore à l'avenir, parallèlement à ces discussions législatives.
—Masahiro Otsuka, responsable du développement commercial pour la région APAC chez dmarcian
Comment dmarcian peut vous aider
La mise en œuvre efficace du protocole DMARC n'est pas seulement un exercice technique, c'est un engagement envers les organisations, les clients et les citoyens qui comptent sur la fiabilité de vos e-mails. En tant que premier fournisseur de services DMARC, dmarcian apporte l'expertise approfondie et les outils spécialement conçus dont les organisations japonaises ont besoin pour mettre en œuvre le protocole DMARC correctement, intégralement et en toute confiance.
Nous aidons les entreprises japonaises à :
- Se conformer aux cadres réglementaires japonais, des directives du METI aux obligations découlant de l'ACD.
- Mettez en œuvre DMARC de manière optimale, en suivant une démarche structurée vers la mise en application, sans approximations ni perturbations organisationnelles.
- Bénéficiez d'une visibilité totale sur votre écosystème de messagerie électronique et identifiez toutes les sources qui envoient des e-mails en votre nom.
- Gardez une longueur d'avance sur l'évolution de la réglementation, alors que les normes de sécurité des e-mails au Japon ne cessent de se renforcer.
Instaurer la confiance grâce à des e-mails sécurisés n'est pas une initiative ponctuelle, mais une démarche continue, et nous sommes là pour vous accompagner à chaque étape.
Vous souhaitez poursuivre la conversation ? Rendez-vous sur le Forum dmarcian.
