Le 5 mai 2025, Microsoft a commencé à rejeter — pas à mettre en indésirable, à rejeter avec un code 550 — les courriels des gros expéditeurs qui échouent à l'authentification. Gmail et Yahoo avaient ouvert la voie en février 2024. En juillet 2026, ces règles sont pleinement appliquées. J'ai voulu savoir où en sont les marques québécoises : non pas « sont-elles protégées », question que j'ai déjà posée ici, mais « passeraient-elles les contrôles que les grands fournisseurs appliquent aujourd'hui ». La réponse est oui, presque toutes. Et c'est précisément ce qui est inquiétant.
p=none, qui observe sans rien bloquer. Elles sont conformes. Elles sont usurpables.p=none collectent déjà des rapportsTrois dates suffisent à résumer les trois dernières années.
Février 2024 — Gmail et Yahoo imposent leurs exigences aux gros expéditeurs, définis par Google comme ceux qui envoient plus de 5 000 messages par jour vers des comptes Gmail. Ceux-là doivent avoir SPF et DKIM, et publier un DMARC. Pour tous les autres expéditeurs, la règle est plus douce mais universelle : avoir SPF ou DKIM.
5 mai 2025 — Microsoft applique à son tour ses exigences sur les boîtes Outlook.com grand public. Les messages qui échouent sont refusés avec le message 550 5.7.515 Access denied, sending domain does not meet the required authentication level. Ce n'est pas le dossier indésirable : le courriel n'arrive nulle part.
Aujourd'hui — ces règles sont en vigueur et appliquées. Et il faut lire la plus importante avec attention, parce que c'est elle qui explique tout le reste : le DMARC exigé des gros expéditeurs peut être en p=none. Google l'écrit noir sur blanc. Publier un DMARC suffit ; le faire appliquer quoi que ce soit n'est pas demandé.
J'ai repris exactement la même liste de 26 marques que pour l'étude des domaines sosies publiée ici le 27 juillet — finance, assurance, secteur public, télécom, médias, détail, livraison, industrie — et j'ai interrogé le DNS public le 31 juillet 2026 pour chacune : SPF publié ? DKIM détectable ? DMARC publié, et avec quelle politique ?
Puis j'ai appliqué les deux barres décrites plus haut. C'est tout. Aucun site visité, aucun courriel envoyé, aucune donnée privée : uniquement des enregistrements DNS que n'importe qui peut consulter.
p=reject — le faux courriel est refusé13 marquesp=quarantine — il part aux indésirables4 marquesp=none — il arrive dans la boîte8 marquesMettez les deux résultats côte à côte. 24 marques sur 26 passeraient les exigences des gros expéditeurs. 17 seulement sont réellement protégées. Sept marques se tiennent dans cet écart, plus une huitième qui n'a pas de DMARC détectable.
Ces huit-là ont fait le travail visible. Le SPF est publié. La signature DKIM est en place. L'enregistrement DMARC existe. Un tableau de conformité les afficherait toutes en vert. Mais leur DMARC dit p=none, ce qui se traduit littéralement par : « si un message échoue au contrôle, laissez-le passer quand même ».
Autrement dit, un fraudeur qui écrit à vos clients en se faisant passer pour l'une de ces marques verra son message arriver dans la boîte de réception. Pas dans les indésirables. Dans la boîte de réception. La protection est publiée, elle n'est simplement pas activée.
La tentation serait de conclure à la négligence. Les données disent autre chose. J'ai regardé si ces huit domaines demandent à recevoir des rapports DMARC — la balise rua, qui fait parvenir chaque jour un relevé de tout ce qui s'envoie en votre nom.
Six sur huit en ont une. Plusieurs pointent vers des plateformes DMARC commerciales, c'est-à-dire des outils payants. Ces organisations ne s'en fichent pas : elles ont commencé la démarche, elles ont acheté l'outil, elles collectent les données. Elles ne sont simplement jamais passées à l'étape suivante.
Et cette étape est la seule qui fasse peur, parce que c'est la seule qui peut casser quelque chose. Passer en quarantine ou en reject, c'est accepter que tout envoi légitime qu'on aurait oublié — l'outil d'infolettre, le logiciel de facturation, le prestataire qui écrit au nom de l'entreprise — cesse d'arriver. Personne ne veut être celui qui a coupé les courriels de la paie. Alors on reste en observation. Un an. Deux ans.
C'est un problème d'inventaire, pas de technique. Les rapports DMARC servent exactement à ça : ils listent qui envoie en votre nom, pour que vous puissiez serrer la vis en sachant ce que vous cassez.
Soyons honnêtes : si vous êtes une PME de dix personnes, vous n'êtes pas un « gros expéditeur » au sens de Google. Les exigences les plus strictes ne s'appliquent pas à vous, et personne ne va rejeter vos courriels demain matin pour cette raison.
Trois choses vous concernent quand même.
La barre universelle, elle, vous vise. Gmail demande à tout expéditeur d'avoir au moins un SPF ou un DKIM. Les 26 marques mesurées ici la passent toutes ; c'est le minimum du minimum, et une PME sans SPF est en dessous.
Le seuil se franchit sans qu'on s'en aperçoive. Cinq mille messages par jour, c'est une infolettre à une liste de bonne taille, ou une campagne ponctuelle. Le jour où ça arrive, les règles s'appliquent d'un coup.
Et surtout, l'usurpation ne demande la permission de personne. C'est le vrai sujet. Aucune règle de Gmail ou d'Outlook ne vous protège contre quelqu'un qui écrit à vos clients en votre nom : seul un DMARC en quarantine ou reject le fait. Une PME est même une cible plus commode qu'une grande marque, parce que ses clients ne s'attendent à rien de sophistiqué.
La conformité et la protection sont deux choses différentes, et 2026 vient de le démontrer à l'échelle d'un échantillon. Un domaine peut cocher toutes les cases des grands fournisseurs et rester, pour un fraudeur, aussi ouvert qu'avant.
La question utile n'est donc pas « ai-je un DMARC ». Elle est « qu'est-ce que mon DMARC fait quand quelqu'un ment ». Si la réponse est none, la réponse est : rien.
Vérifier prend quinze secondes et ne demande aucune inscription — le bilan lit vos enregistrements publics et vous dit dans quelle catégorie vous tombez, avec la valeur exacte à mettre pour en sortir.
Entrez votre domaine : en 15 secondes, on teste vos SPF, DKIM, DMARC et votre site — gratuit, sans inscription, données publiques seulement.
Faire le bilan gratuit →Méthode et limites : les 26 mêmes marques québécoises que l'étude des domaines sosies du 27 juillet 2026 (finance, assurance, secteur public, télécom, médias, détail, livraison, industrie), interrogées par DNS public (cloudflare-dns.com) le 31 juillet 2026. Pour chacune : présence d'un SPF à la racine du domaine, présence d'un DMARC sur _dmarc.