Adoption du DMARC par les entreprises du Fortune 100 en 2026
Au premier trimestre 2022, nous avons examiné l'adoption du protocole DMARC parmi les entreprises du classement Fortune 100, une liste annuelle qui classe les plus grandes entreprises des États-Unis en fonction de leur chiffre d'affaires total.
À cette époque, Google et Yahoo n'avaient pas encore publié leurs exigences en matière d'expéditeurs, qui allaient bouleverser l'écosystème. Nous avons pensé faire le point sur les entreprises du classement Fortune 100 en 2026 afin de voir comment elles avaient évolué depuis les directives DMARC de Google, Yahoo et Microsoft.
Voici nos constatations :
De 2022 à 2026, nous avons observé les tendances suivantes dans l'adoption du DMARC par les entreprises du classement Fortune 100 :
- Augmentation de 89 % des politiques DMARC définies sur p=reject
- Augmentation de 30 % des politiques DMARC définies sur p=quarantine
- Diminution de 68 % des politiques DMARC définies sur p=none
- Baisse de 87 % du nombre d'entreprises ne disposant pas d'une politique DMARC
Avec la menace toujours croissante de l'usurpation de domaine, ces changements de pourcentage au cours des dernières années illustrent une amélioration globale de l'adoption du DMARC et de l'avancement des politiques DMARC.
Erreurs d'enregistrement SPF
La bonne nouvelle, c'est que seulement 14 % des entreprises du classement Fortune 100 présentaient des erreurs SPF. Nous avons constaté que lors du déploiement de DMARC, le développement et la publication d'enregistrements SPF sont souvent source de confusion. Bien que nous n'ayons constaté qu'un petit nombre de problèmes, les plus courants concernaient des erreurs de syntaxe SPF, à savoir des mécanismes « include » et « all » incorrects. Un nombre encore plus restreint concernait des enregistrements SPF multiples, et un nombre encore plus faible concernait l'absence d'enregistrement SPF.
Consultez ces lignes directrices pour vous aider à publier des enregistrements SPF précis et sûrs.
Les entreprises du classement Fortune 100 sont des cibles de choix
Les entreprises du classement Fortune 100 restent des cibles de choix pour les cybercriminels. Avec leur empreinte numérique étendue, leur notoriété et leur large clientèle, une seule attaque réussie peut avoir des répercussions financières et réputationnelles considérables.
En janvier 2026, une société de services financiers du classement Fortune 100 a été prise pour cible par un groupe de ransomware utilisant un nouveau type de malware appelé PDFSider. Les attaquants ont obtenu un accès initial grâce à des e-mails de spear-phishing et à des tactiques d'ingénierie sociale afin de livrer des charges utiles malveillantes aux systèmes Windows.
Dans plusieurs cas, les attaquants ont tenté de piéger les destinataires des e-mails afin qu'ils lancent le fichier malveillant en utilisant des documents leur servant de leurres et qui semblaient être adaptés aux cibles.
En l'absence d'une application stricte du DMARC, les criminels peuvent se faire passer pour des banques ou des sociétés d'investissement et envoyer des e-mails de phishing à des clients, voire à des employés internes, dans le but d'accéder à des comptes, de voler des informations personnelles, de rediriger des paiements et d'installer des ransomwares.
Une fois que l'on comprend comment les attaquants opèrent, l'étape suivante consiste à savoir comment mettre en œuvre le DMARC de manière à la fois gérable et efficace.
Déploiement de DMARC
Pour de nombreuses organisations, la première phase du déploiement DMARC consiste à définir une politique DMARC sur p=none; cette politique de surveillance permet de comprendre comment un domaine est utilisé sur Internet sans imposer de contraintes sur le flux d'e-mails du domaine. Cette visibilité inclut les utilisations connues du domaine, comme le fournisseur de services d'e-mails marketing d'une entreprise qui a été correctement vérifié par le service informatique.
À partir de cette politique de surveillance initiale, les opérateurs de domaine s'efforcent de créer un catalogue de domaines à l'échelle de leur organisation, d'identifier toutes les sources d'envoi légitimes d'e-mails et d'aligner le domaine utilisé pour un résultat SPF ou DKIM positif afin qu'il corresponde au domaine de l'en-tête « De ». Ensuite, l'organisation fera passer la politique DMARC à p=quarantine et passer à p=reject à mesure qu'elle gagne en confiance dans l'identification des sources d'e-mails légitimes.
Consultez nos études sur l'adoption de DMARC dans d'autres secteurs.
Comment dmarcian peut aider
Grâce à son équipe d'experts en sécurité des e-mails et à sa mission visant à rendre les e-mails et Internet plus fiables, dmarcian peut vous aider à évaluer votre catalogue de domaines, à déployer DMARC et à gérer la sécurité de vos domaines sur le long terme. Forts de notre expertise et de notre mission « DMARC for All », nous pouvons vous aider à
- Passez en toute sécurité du contrôle à l'application de la loi grâce à nos conseils d'experts.
- Comprendre le fonctionnement de SPF, DKIM et DMARC, et pourquoi ils sont essentiels.
- Configurez ces protocoles afin d'assurer une distribution transparente du courrier électronique.
- Contrôler les rapports d'authentification afin d'identifier et de résoudre rapidement tout problème.
