J'ai analysé 38 entreprises québécoises : 1 sur 3 est grande ouverte à l'usurpation de courriel

En juillet 2026, j'ai passé au crible la sécurité courriel de 38 entreprises et organisations québécoises bien connues — commerces, médias, assureurs, fabricants. Le constat est préoccupant : près d'une sur trois n'a aucune protection contre l'usurpation. Et comme ce sont justement les plus grosses et les mieux outillées, la réalité des petites PME est probablement pire.

« Usurpable », ça veut dire quoi exactement ?

Par défaut, le courriel ne vérifie pas qui écrit. N'importe qui peut mettre votreentreprise.com dans le champ « De : » et envoyer un message à vos clients. Trois protections empêchent ça — SPF, DKIM et surtout DMARC, qui agit comme un videur à la porte des serveurs de messagerie du monde entier :

• Pas de DMARC → aucun videur. Le faux courriel entre directement dans la boîte de réception de votre client.
• DMARC « quarantine » → le videur envoie le faux courriel dans les indésirables (mieux, mais votre client peut quand même le voir).
• DMARC « reject » → le videur bloque complètement le faux courriel. C'est la seule vraie protection.

Concrètement : pour près d'une entreprise sur trois de cet échantillon, un fraudeur peut, cet après-midi, envoyer une fausse facture à leurs clients en leur nom — et le courriel arrivera dans la boîte de réception, pas dans le spam. C'est exactement le point de départ de la fraude au président et des fausses factures.

Et les sites web ?

Le portrait n'est pas meilleur du côté des sites : 34 % ne servent pas l'en-tête de sécurité HSTS, et 42 % obtiennent une note de sécurité web faible (en-têtes manquants, redirection HTTPS incomplète). Ce sont des réglages gratuits qui protègent contre l'interception et le détournement — mais que presque personne n'active.

Pourquoi c'est encore pire pour une petite PME

Souviens-toi : cet échantillon, ce sont des entreprises connues, avec des budgets et souvent une équipe TI. Si un tiers d'entre elles n'a aucun DMARC, imagine la boulangerie, le cabinet comptable ou l'entrepreneur en construction de 8 employés, sans informaticien. Dans notre expérience, ces PME partent presque toujours de zéro protection. La proportion de PME usurpables au Québec est donc très probablement bien au-dessus de 31 %.

Ce que ça change pour vous : Loi 25, assurance, réputation

• Loi 25. Un faux courriel envoyé en votre nom qui piège un client, c'est un incident de confidentialité qui peut vous être reproché. Avoir DMARC en « reject », c'est exactement la « mesure de sécurité raisonnable » que la loi attend.
• Assurance cyber. Les assureurs exigent de plus en plus des preuves de contrôles de sécurité avant de couvrir une PME. Un domaine protégé, documenté, c'est un argument à la souscription.
• Réputation. Le jour où vos clients reçoivent une fausse facture « de votre part », c'est votre marque qui encaisse — même si l'attaque n'a rien touché chez vous.

La bonne nouvelle

Se protéger ne coûte rien et ne prend pas des semaines : DMARC, SPF et DKIM sont de simples enregistrements DNS. La première étape, c'est de savoir où vous en êtes — et ça, ça prend 15 secondes.

Méthode : chaque domaine a été analysé avec le scanner public de Cyberbilan, qui lit uniquement des informations publiques (enregistrements DNS et en-têtes de site). Aucune donnée privée, aucun accès aux boîtes courriel. Les entreprises ne sont pas nommées : seules les proportions agrégées sont publiées. Résultats reproductibles par n'importe qui.