Quand un fraudeur veut se faire passer pour votre fournisseur, il a deux options. Usurper le domaine réel — de plus en plus difficile depuis que DMARC se répand. Ou acheter un domaine qui lui ressemble, qu'il contrôle entièrement, et depuis lequel tout est techniquement parfaitement authentique. La deuxième coûte une quinzaine de dollars. En juillet 2026, j'ai voulu savoir combien de ces jumeaux existent déjà pour des marques que tout le monde connaît ici.
C'est un nom de domaine choisi pour être confondu avec le vôtre. Une lettre en trop, un i remplacé par un 1, un trait d'union enlevé — ou, le plus efficace, votre nom exact avec .ca au lieu de .com.
Ce qui le rend redoutable, c'est qu'il est légitime. Le fraudeur en est le propriétaire déclaré. Il peut y publier un SPF impeccable, signer ses courriels avec DKIM, poser un DMARC en reject. Tous les contrôles techniques passent au vert, parce qu'il ne ment pas : ce courriel vient bel et bien du domaine qu'il affiche. Le mensonge n'est pas dans la technique, il est dans la ressemblance.
C'est exactement pour ça qu'un bon DMARC sur votre domaine ne vous protège pas de ça. DMARC empêche qu'on écrive depuis votre domaine. Il ne peut rien contre quelqu'un qui écrit depuis le domaine d'à côté.
Pour chacune des 26 marques, j'ai généré les variantes typographiques les plus courantes — les mêmes que celles que produit l'outil de détection de sosies de Cyberbilan : substitutions visuelles, lettre omise, lettre doublée, deux lettres inversées, trait d'union retiré, et changement d'extension. Puis j'ai interrogé le DNS public pour chacune : le domaine existe-t-il, et peut-il recevoir du courrier ?
Un domaine enregistré n'est pas forcément hostile. Beaucoup d'entreprises achètent elles-mêmes leurs propres sosies, justement pour que personne d'autre ne le fasse. Il fallait donc les séparer. J'ai comparé les serveurs de noms de chaque sosie à ceux du domaine officiel : hébergement identique, c'est un enregistrement défensif. Puis, pour ceux qui restaient, j'ai recoupé une seconde fois avec les serveurs de courriel, ce qui a fait sortir un domaine de plus du lot des « tiers ».
Sur les 64 sosies détenus par un tiers, 30 ont un serveur de courriel configuré. Cette distinction est le cœur de l'étude.
Un domaine acheté pour être revendu plus tard n'a besoin de rien : on le laisse dormir. Ajouter un serveur de courriel demande une démarche supplémentaire, délibérée, et ne sert qu'à une chose — envoyer ou recevoir des messages. C'est la différence entre une arme rangée dans un tiroir et une arme chargée sur la table. Je ne peux pas dire ce que ces domaines font de cette capacité. Je peux dire qu'ils l'ont.
Je m'attendais à trouver surtout des desjardlns et des vidéotron mal orthographiés. C'est l'inverse : sur les 30 sosies armés, 21 portent le nom exact de la marque, simplement sous une autre extension. Neuf seulement sont de vraies fautes de frappe.
Ça se comprend. Une faute de frappe ne trompe que celui qui tape trop vite. Une extension différente trompe celui qui lit attentivement — parce qu'il n'y a rien à repérer. Le nom est bon. Aucune lettre ne cloche. Et presque personne ne sait par cœur si son fournisseur est en .com ou en .ca.
C'est la leçon la plus utile de ce relevé : la consigne « vérifiez bien l'adresse de l'expéditeur » ne suffit pas. Il faut vérifier le bout de l'adresse, celui que personne ne regarde.
On pourrait croire que ce problème vise les grandes marques. C'est le contraire qui est vrai pour vous, et pour deux raisons.
D'abord, ces 26 marques ont des équipes qui surveillent leur nom. Vous, probablement pas. Les 25 enregistrements défensifs que j'ai trouvés sont le signe d'entreprises qui ont pensé à acheter leur propre jumeau. Une PME de vingt employés n'y pense presque jamais — et son nom est tout aussi disponible.
Ensuite, l'arnaque qui coûte le plus cher à une PME n'est pas celle qui imite une banque. C'est celle qui imite votre fournisseur habituel, avec un vrai numéro de facture et un montant crédible, pour vous faire changer un numéro de compte bancaire. Ce message-là n'a pas besoin d'un million de destinataires. Il en vise un seul, et il connaît votre nom.
.com, prenez le .ca — et l'inverse. Une dizaine de dollars par an retire au fraudeur son outil le plus convaincant. Mais l'achat seul ne suffit pas : un domaine que vous possédez sans l'utiliser, et sur lequel vous n'avez rien publié, reste usurpable par n'importe qui. Posez-y v=spf1 -all et un DMARC en reject — deux lignes de DNS qui disent « ce domaine n'envoie jamais de courriel, refusez tout ». Ne vous acharnez pas sur les fautes de frappe : elles sont innombrables, et ce n'est pas là que ça se joue.Et quand un message vous laisse un doute sans que vous sachiez dire pourquoi : les clients Pro peuvent le transférer à leur adresse Cyberbilan privée et recevoir un verdict en une minute — âge du domaine expéditeur, ressemblance avec une marque connue, liens qui ne mènent pas où ils prétendent. C'est exactement ce que cette étude vérifie, appliqué à un courriel précis.
Précision importante : cette étude n'accuse personne. Enregistrer un domaine qui ressemble à un autre est parfaitement légal, et une partie de ces 64 domaines appartient sûrement à des entreprises sans le moindre rapport avec la marque, à des revendeurs de noms, ou à d'anciens partenaires. Je n'ai observé aucun envoi de courriel et je n'en tire aucune conclusion sur les intentions de qui que ce soit. Le seul constat est celui-ci : l'infrastructure nécessaire à l'usurpation existe déjà, et elle est en place autour de plus d'une marque sur deux.
Entrez votre domaine : en 15 secondes, on teste vos SPF, DKIM, DMARC et votre site — gratuit, sans inscription, données publiques seulement.
Faire le bilan gratuit →Méthode et limites : 26 marques québécoises connues (finance, assurance, secteur public, télécom, médias, détail, livraison, industrie), retenues parce que leur nom fait au moins six lettres — les variantes d'un sigle court comme « cgi » ou « rbc » tombent sur des entreprises réelles sans aucun rapport et fausseraient le décompte. Pour chacune, 15 variantes au maximum (substitution visuelle, omission, répétition, inversion, retrait de trait d'union, changement d'extension), soit 390 au total, interrogées par DNS public (cloudflare-dns.com) le 27 juillet 2026 : présence de serveurs de noms = domaine enregistré, présence de MX = capable de courriel. Séparation défensif/tiers par comparaison des serveurs de noms avec le domaine officiel, puis recoupement des serveurs de courriel (qui a reclassé un domaine). Limites : un enregistrement défensif hébergé chez un autre fournisseur DNS et avec une autre messagerie serait compté à tort comme tiers — le chiffre de 64 est donc un maximum. À l'inverse, 15 motifs de variation ne couvrent pas toutes les ressemblances possibles (mots ajoutés, extensions exotiques, caractères non latins) : le nombre réel de sosies est plus élevé. Aucun site n'a été visité, aucun courriel envoyé ou reçu, aucune donnée privée consultée — uniquement des enregistrements DNS publics.