Depuis le 31 mars 2025, l'exigence 5.4.1 de la norme PCI DSS est obligatoire à chaque évaluation : tout commerce qui traite des données de cartes doit disposer de « processus et mécanismes automatisés » contre le hameçonnage. La norme cite SPF, DKIM et DMARC en exemple. J'ai donc scanné 35 commerçants québécois bien connus — épiceries, pharmacies, restaurants, quincailleries, boutiques en ligne — pour voir où ils en sont réellement.
PCI DSS est la norme imposée par l'industrie des cartes de paiement. Sa version 4.0 a ajouté l'exigence 5.4.1 : des processus et mécanismes automatisés doivent détecter et protéger le personnel contre le hameçonnage. Deux mots comptent. Automatisés : une formation de sensibilisation, même excellente, ne suffit pas seule. Et obligatoire : ce n'était qu'une bonne pratique jusqu'au 31 mars 2025, date à laquelle la version 4.0.1 est devenue la seule active.
La norme n'impose pas une technologie précise — elle cite DMARC, SPF et DKIM comme exemples de contrôles anti-usurpation. C'est justement ce qui est vérifiable de l'extérieur, sans rien demander à personne. C'est ce que j'ai mesuré.
Additionnez les deux premières barres : 45,7 % de ces commerçants n'ont rien qui empêche un faux courriel d'arriver dans la boîte de réception de leurs clients. Pas dans les indésirables : dans la boîte de réception.
C'est le chiffre qui m'a le plus surpris. Un commerçant sur trois (34,3 %) a bel et bien publié un enregistrement DMARC — et cet enregistrement dit p=none, c'est-à-dire : « observe, mais ne bloque rien ».
Imaginez un videur à l'entrée de votre commerce. p=none, c'est un videur qui note dans un carnet qui entre, et laisse tout le monde passer. p=quarantine, c'est un videur qui met les indésirables dans une salle d'attente. p=reject, c'est un videur qui refuse l'entrée. La plupart des outils de conformité coche « DMARC : oui » dans les trois cas.
Ce mode d'observation est une étape normale et recommandée — on le laisse quelques semaines pour vérifier qu'aucun envoi légitime n'est bloqué, puis on monte. Le problème, c'est quand on y reste des années. Vu de l'extérieur, un domaine en p=none est aussi usurpable qu'un domaine sans DMARC du tout.
91,4 % signent leurs courriels avec DKIM et seulement 5,7 % n'ont aucun SPF. Excellent — mais il y a une raison simple : Microsoft 365 et Google Workspace activent ces protections presque automatiquement quand on configure un domaine. Ce sont les réglages qu'on obtient sans y penser.
DMARC, lui, demande une décision : publier un enregistrement, choisir une politique, accepter d'assumer qu'un envoi mal configuré sera bloqué. C'est exactement l'écart qu'on observe entre 91,4 % et 54,3 %. Le travail restant n'est pas technique — il est décisionnel.
Le portrait est plus faible : 74,3 % n'ont aucun en-tête CSP (la protection contre l'injection de scripts dans une page — celle qui compte quand un formulaire de paiement est en jeu) et 42,9 % n'ont pas de HSTS (qui force le navigateur à toujours utiliser la connexion chiffrée). Plus de la moitié des sites obtiennent moins de 70/100 sur notre grille de durcissement.
Un point d'honnêteté ici : beaucoup de ces commerçants sous-traitent le paiement lui-même à une passerelle externe, ce qui réduit fortement leur périmètre PCI. L'absence de CSP sur le site vitrine n'est donc pas automatiquement un manquement à la norme. Mais c'est une porte que rien ne ferme.
Ces 35 entreprises sont, pour la plupart, des chaînes connues avec des ressources informatiques. Si près de la moitié n'a pas verrouillé l'usurpation de son domaine, la situation d'un commerce de quartier, d'un garage ou d'un restaurant indépendant est vraisemblablement moins bonne — pas meilleure.
La bonne nouvelle : c'est gratuit à corriger. DMARC est un enregistrement DNS, pas un logiciel à acheter. La séquence est toujours la même : publier p=none, lire les rapports quelques semaines, passer à p=quarantine, puis à p=reject.
Précision importante : cette étude ne dit pas que ces commerçants sont « non conformes à PCI DSS ». La norme n'impose aucune technologie précise, un commerçant peut répondre à 5.4.1 autrement, et le périmètre dépend de son questionnaire d'auto-évaluation. Cyberbilan n'est pas un évaluateur qualifié (QSA). Ce que ces chiffres mesurent, c'est l'état d'un contrôle public, vérifiable par n'importe qui — y compris par un fraudeur.
Entrez votre domaine : en 15 secondes, on teste vos SPF, DKIM, DMARC et votre site — gratuit, sans inscription, données publiques seulement.
Faire le bilan gratuit →Méthode et limites : 36 domaines de commerçants québécois connus (épiceries, pharmacies, restaurants, quincailleries, détaillants, boutiques en ligne) ont été analysés le 24 juillet 2026 avec le scanner public de Cyberbilan, qui lit uniquement des informations publiques (enregistrements DNS et en-têtes de site). 35 sites joignables ont été retenus. Aucune donnée privée, aucun accès à une boîte courriel, aucun test de paiement. Échantillon composé volontairement de commerces établis (donc mieux outillés que la moyenne) et de taille modeste : à lire comme une tendance, pas un recensement. Les entreprises ne sont pas nommées ; seules les proportions agrégées sont publiées. Résultats reproductibles par n'importe qui avec le même scanner.