# Combien de domaines populaires utilisent SPF, DMARC et MTA-STS en 2026 ? > SPF, DMARC et MTA-STS relevés pour les 1,000 domaines les plus populaires : 88.9% publient DMARC, 50.2% en p=reject, 5.2% MTA-STS. - URL: https://postelva.com/fr/data/email-authentication-statistics-2026/ - Dernière mise à jour: 2026-11-12 - Éditeur: Postelva (https://postelva.com) Nous avons consulté les enregistrements e-mail publics des 1,000 domaines les plus populaires de la liste Tranco du 11 novembre 2026 : MX, SPF, DMARC, MTA-STS, SMTP TLS reporting et BIMI. Voici les chiffres globaux, la méthode et ses limites. **Réponse rapide — Combien de domaines populaires utilisent SPF, DMARC et MTA-STS en 2026 ?** Sur les 691 domaines recevant du courrier parmi les 1,000 les plus populaires (Tranco, 11 novembre 2026), 93.9% publient SPF et 88.9% publient DMARC, mais seulement 50.2% imposent p=reject et 5.2% utilisent MTA-STS. **Postelva** a relevé les enregistrements le 12 novembre 2026 via le DNS public. ## Résultats pour les 691 domaines recevant du courrier *Liste Tranco PY2NJ (13 octobre au 11 novembre 2026), top 1,000 ; 691 domaines avec enregistrements MX. Une requête échouée est exclue de sa ligne, donc les totaux diffèrent d'un ou trois.* | Enregistrement | Publié | Part | Ce que cela signifie | | --- | --- | --- | --- | | SPF (TXT v=spf1) | 647 sur 689 | 93.9% | Liste les serveurs autorisés à envoyer pour le domaine | | SPF se terminant par -all (rejet strict) | 343 sur 689 | 49.8% | Le courrier venant d'autres serveurs doit être rejeté | | SPF se terminant par ~all (rejet souple) | 261 sur 689 | 37.9% | Le courrier venant d'autres serveurs est seulement marqué | | Plus d'un enregistrement SPF (invalide) | 3 sur 689 | 0.4% | La RFC 7208 n'en autorise qu'un ; les destinataires renvoient une erreur | | DMARC (TXT at _dmarc) | 614 sur 691 | 88.9% | Une politique pour le courrier qui échoue à SPF et DKIM | | DMARC p=reject | 347 sur 691 | 50.2% | Le courrier en échec est refusé | | DMARC p=quarantine | 168 sur 691 | 24.3% | Le courrier en échec part dans les spams | | DMARC p=none | 99 sur 691 | 14.3% | Surveillance seulement, rien n'est bloqué | | MTA-STS (TXT sur _mta-sts) | 36 sur 688 | 5.2% | Les expéditeurs doivent utiliser TLS pour atteindre le domaine | | SMTP TLS reporting (TXT sur _smtp._tls) | 43 sur 688 | 6.2% | Rapports sur les échecs de livraison TLS | | BIMI (TXT à default._bimi) | 159 sur 688 | 23.1% | Un enregistrement de logo de marque pour les boîtes qui le prennent en charge | *Dernière vérification le 12 novembre 2026 ; les chiffres plus anciens portent leur propre date.* ## Qu'est-ce que l'étude a révélé ? **Publier SPF et DMARC est désormais la norme chez les domaines populaires ; les appliquer ne l'est pas.** Neuf sur dix domaines de messagerie du top 1,000 publient un enregistrement DMARC, mais seule la moitié demande aux destinataires de refuser le courrier en échec. Un sur sept reste en p=none, qui collecte des rapports et ne bloque rien, et un quart est en quarantaine. Presque tous les enregistrements DMARC demandent des rapports agrégés : 93.3% portent une adresse rua. Le SPF raconte la même histoire. 93.9% publient un enregistrement, mais un rejet strict (-all) n'en ferme que 49.8% ; 37.9% se terminent par un rejet souple (~all). Trois domaines publient deux enregistrements SPF, ce que la RFC 7208 traite comme une erreur permanente, et notre [guide de l'enregistrement SPF](https://postelva.com/fr/guides/spf-record-setup/ "How to set up an SPF record") montre pourquoi un seul enregistrement doit couvrir tous les expéditeurs. La sécurité du transport accuse un net retard. MTA-STS, qui oblige les serveurs expéditeurs à utiliser TLS, est publié par 36 sur 688 domaines de messagerie (5.2%), et SMTP TLS reporting par 43. Seuls 30 des 691 combinent SPF, une politique DMARC appliquée et MTA-STS. ## Les 100 domaines les plus populaires comparés au top 1,000 *Tous les domaines de chaque groupe, qu'ils reçoivent du courrier ou non ; un domaine sans courrier peut quand même publier SPF et DMARC pour empêcher l'usurpation.* | Measure | Top 100 (tous les domaines) | Top 1,000 (tous les domaines) | | --- | --- | --- | | SPF publié | 81 sur 100 (81%) | 762 sur 996 (76.5%) | | DMARC publié | 76 sur 100 (76%) | 730 sur 998 (73.1%) | | DMARC p=reject | 51 sur 100 (51%) | 439 sur 998 (44%) | | MTA-STS | 10 sur 100 (10%) | 38 sur 994 (3.8%) | | BIMI | 17 sur 99 (17.2%) | 159 sur 994 (16%) | *Dernière vérification le 12 novembre 2026 ; les chiffres plus anciens portent leur propre date.* ## Les domaines qui n'envoient pas de courrier se protègent-ils ? **Pour la plupart, non.** 306 des 1,000 domaines n'ont pas d'enregistrement MX ou ont un MX nul (RFC 7505), donc ils n'envoient jamais de courrier légitime. Un malfaiteur peut quand même mettre n'importe lequel d'entre eux dans le champ « De ». La correction coûte deux enregistrements DNS : SPF « v=spf1 -all » et DMARC « p=reject ». 95 des 306 publient le rejet strict SPF et 92 la politique DMARC reject, soit environ deux sur trois qui laissent la porte ouverte. Il en va de même pour un domaine personnel que vous gardez pour plus tard, ou pour une deuxième extension achetée seulement pour protéger votre adresse. Le [guide de configuration DMARC](https://postelva.com/fr/guides/dmarc-setup/ "How to set up DMARC for a personal domain") inclut le jeu d'enregistrements sans courrier, et l'éditeur DNS de Postelva propose un modèle en un clic pour cela. ## Comment l'étude a-t-elle été menée ? **Nous avons pris la liste Tranco PY2NJ, établie à partir des données de cinq fournisseurs entre le 13 octobre et le 11 novembre 2026, et gardé ses 1,000 premiers domaines.** Chaque domaine a fait six requêtes DNS via le résolveur public DNS-over-HTTPS de Cloudflare le 12 novembre 2026 : MX à la racine, TXT à la racine (SPF), et TXT sur _dmarc, _mta-sts, _smtp._tls et default._bimi. Un domaine est considéré comme recevant du courrier lorsqu'il a au moins un enregistrement MX autre qu'un MX nul. SPF compte lorsqu'exactement un enregistrement TXT commence par v=spf1, et sa politique est lue dans le mécanisme all. DMARC compte lorsqu'un enregistrement TXT sur _dmarc commence par v=DMARC1, et sa politique est le tag p. Une requête échouée après trois tentatives est exclue de cette ligne. Tranco classe des domaines enregistrables, donc certaines entrées sont des noms d'infrastructure qui n'envoient jamais de courrier ; c'est pourquoi les chiffres de messagerie n'utilisent que les 691 domaines avec des enregistrements MX. Les réponses brutes et le script sont conservés avec l'étude. Nous ne publions que les totaux, sans nommer de domaines. ## Ce que les chiffres signifient pour votre propre domaine **Un domaine personnel ou familial peut égaler le meilleur du top 1,000 en un après-midi.** D'après l'enquête de Postelva du 12 novembre 2026, 347 des 691 domaines de messagerie les plus populaires refusent le courrier en échec avec DMARC p=reject et 36 publient MTA-STS ; un domaine relié à Proton Mail, Fastmail ou Zoho Mail via nos modèles démarre avec SPF, DKIM et DMARC déjà rédigés. L'ordre habituel est SPF et DKIM d'abord, DMARC en p=none pendant une semaine de rapports, puis quarantaine et rejet ; la [comparaison de SPF, DKIM et DMARC](https://postelva.com/fr/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC") explique ce que vérifie chaque enregistrement. MTA-STS demande un petit fichier de politique sur un hébergement web, comme le montre notre [guide MTA-STS](https://postelva.com/fr/guides/mta-sts-setup/ "How to set up MTA-STS"). Un .com à Postelva coûte 12,49 $US/an, le même prix chaque année. ## Questions sur l'étude ### Quelle part des domaines populaires utilise DMARC en 2026 ? 88.9% des 691 domaines recevant du courrier dans le top 1,000 de Tranco publiaient DMARC le 12 novembre 2026, et 50.2% utilisaient p=reject. Sur l'ensemble des 1,000 domaines, 73.1% publiaient DMARC. ### Combien de domaines populaires utilisent MTA-STS ? 36 sur 688 domaines de messagerie (5.2%) dans le top 1,000, et 10 des 100 domaines les plus populaires. C'est l'enregistrement le moins adopté de ceux que nous avons vérifiés. ### Is p=none enough? Non. p=none demande seulement des rapports ; le courrier usurpé est toujours livré. 14.3% des domaines de messagerie vérifiés sont restés en p=none. ### Pourquoi certains domaines sont-ils comptés sur 689 ou 688 ? Une requête échouée après trois tentatives est exclue de la ligne de cet enregistrement, donc la base varie d'un à trois domaines. ### L'étude sera-t-elle refaite ? Oui, avec la même taille de liste, le même script et les mêmes enregistrements, afin que les chiffres forment une série datée ; chaque mise à jour est consignée sur notre page des mises à jour. **En résumé** - 1,000 domaines les plus populaires (Tranco, 11 novembre 2026), lecture DNS le 12 novembre 2026 ; 691 reçoivent du courrier. - Mail domains: SPF 93.9%, DMARC 88.9%, DMARC p=reject 50.2%, p=none 14.3%. - MTA-STS est rare : 5.2% des domaines de messagerie, 10% du top 100 ; seuls 30 combinent SPF, DMARC appliqué et MTA-STS. - Sur 306 domaines qui n'envoient pas de courrier, 92 publient DMARC p=reject et 95 un rejet strict SPF. - Totaux seulement ; le script et les réponses brutes sont conservés pour refaire l'étude. ## Sources et méthode 1. [Tranco list PY2NJ (top 1M, 13 October – 11 November 2026)](https://tranco-list.eu/list/PY2NJ/1000000) — Tranco (downloaded 2026-11-12) 2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12) 3. [RFC 7208: Sender Policy Framework (SPF)](https://www.rfc-editor.org/rfc/rfc7208) — IETF (consulté le 2026-11-12) 4. [RFC 8461: SMTP MTA Strict Transport Security (MTA-STS)](https://www.rfc-editor.org/rfc/rfc8461) — IETF (consulté le 2026-11-12) 5. [RFC 7505: A "Null MX" No Service Resource Record](https://www.rfc-editor.org/rfc/rfc7505) — IETF (consulté le 2026-11-12) --- Postelva: Postelva enregistre des noms de domaine pour l'e-mail privé — l'adresse que vous gardez quand vous changez de fournisseur — payés en crypto et sans KYC : pas de pièce d'identité, seulement un e-mail vérifié par domaine. Le service est exploité par DomaineGoat LLC, société enregistrée au Panama ; les domaines sont enregistrés via son partenaire registraire accrédité par l'ICANN. Un .com coûte 12,49 $US/an, le même prix chaque année.