Combien de domaines populaires utilisent SPF, DMARC et MTA-STS en 2026 ?

Qu'est-ce que l'étude a révélé ?

Publier SPF et DMARC est désormais la norme chez les domaines populaires ; les appliquer ne l'est pas. Neuf sur dix domaines de messagerie du top 1,000 publient un enregistrement DMARC, mais seule la moitié demande aux destinataires de refuser le courrier en échec. Un sur sept reste en p=none, qui collecte des rapports et ne bloque rien, et un quart est en quarantaine. Presque tous les enregistrements DMARC demandent des rapports agrégés : 93.3% portent une adresse rua.

Le SPF raconte la même histoire. 93.9% publient un enregistrement, mais un rejet strict (-all) n'en ferme que 49.8% ; 37.9% se terminent par un rejet souple (~all). Trois domaines publient deux enregistrements SPF, ce que la RFC 7208 traite comme une erreur permanente, et notre guide de l'enregistrement SPF montre pourquoi un seul enregistrement doit couvrir tous les expéditeurs.

La sécurité du transport accuse un net retard. MTA-STS, qui oblige les serveurs expéditeurs à utiliser TLS, est publié par 36 sur 688 domaines de messagerie (5.2%), et SMTP TLS reporting par 43. Seuls 30 des 691 combinent SPF, une politique DMARC appliquée et MTA-STS.

Les domaines qui n'envoient pas de courrier se protègent-ils ?

Pour la plupart, non. 306 des 1,000 domaines n'ont pas d'enregistrement MX ou ont un MX nul (RFC 7505), donc ils n'envoient jamais de courrier légitime. Un malfaiteur peut quand même mettre n'importe lequel d'entre eux dans le champ « De ». La correction coûte deux enregistrements DNS : SPF « v=spf1 -all » et DMARC « p=reject ». 95 des 306 publient le rejet strict SPF et 92 la politique DMARC reject, soit environ deux sur trois qui laissent la porte ouverte.

Il en va de même pour un domaine personnel que vous gardez pour plus tard, ou pour une deuxième extension achetée seulement pour protéger votre adresse. Le guide de configuration DMARC inclut le jeu d'enregistrements sans courrier, et l'éditeur DNS de Postelva propose un modèle en un clic pour cela.

Comment l'étude a-t-elle été menée ?

Nous avons pris la liste Tranco PY2NJ, établie à partir des données de cinq fournisseurs entre le 13 octobre et le 11 novembre 2026, et gardé ses 1,000 premiers domaines. Chaque domaine a fait six requêtes DNS via le résolveur public DNS-over-HTTPS de Cloudflare le 12 novembre 2026 : MX à la racine, TXT à la racine (SPF), et TXT sur _dmarc, _mta-sts, _smtp._tls et default._bimi.

Un domaine est considéré comme recevant du courrier lorsqu'il a au moins un enregistrement MX autre qu'un MX nul. SPF compte lorsqu'exactement un enregistrement TXT commence par v=spf1, et sa politique est lue dans le mécanisme all. DMARC compte lorsqu'un enregistrement TXT sur _dmarc commence par v=DMARC1, et sa politique est le tag p. Une requête échouée après trois tentatives est exclue de cette ligne. Tranco classe des domaines enregistrables, donc certaines entrées sont des noms d'infrastructure qui n'envoient jamais de courrier ; c'est pourquoi les chiffres de messagerie n'utilisent que les 691 domaines avec des enregistrements MX.

Les réponses brutes et le script sont conservés avec l'étude. Nous ne publions que les totaux, sans nommer de domaines.

Ce que les chiffres signifient pour votre propre domaine

Un domaine personnel ou familial peut égaler le meilleur du top 1,000 en un après-midi. D'après l'enquête de Postelva du 12 novembre 2026, 347 des 691 domaines de messagerie les plus populaires refusent le courrier en échec avec DMARC p=reject et 36 publient MTA-STS ; un domaine relié à Proton Mail, Fastmail ou Zoho Mail via nos modèles démarre avec SPF, DKIM et DMARC déjà rédigés.

L'ordre habituel est SPF et DKIM d'abord, DMARC en p=none pendant une semaine de rapports, puis quarantaine et rejet ; la comparaison de SPF, DKIM et DMARC explique ce que vérifie chaque enregistrement. MTA-STS demande un petit fichier de politique sur un hébergement web, comme le montre notre guide MTA-STS. Un .com à Postelva coûte 12,49 $US/an, le même prix chaque année.