Après mon étude sur 38 entreprises québécoises, une question s'imposait : le Québec protège-t-il mieux ou moins bien ses courriels que la France et les États-Unis ? J'ai analysé 35 grandes entreprises et organisations connues des trois territoires. Verdict : les Américaines dominent nettement — et le Québec, malgré une bonne note d'ensemble, laisse une porte grande ouverte.
Rappel : le mode « reject » est le seul qui bloque réellement un fraudeur qui tente d'écrire en votre nom. Sans lui, l'usurpation passe (dans la boîte de réception ou, au mieux, dans le spam).
Toutes les grandes marques américaines qu'on a pu analyser étaient en « reject ». Ce n'est pas un hasard : depuis 2024, Google et Yahoo exigent DMARC des gros expéditeurs, et l'écosystème américain (avec la pastille de marque BIMI) a poussé fort. Résultat : chez les grands acteurs US, l'usurpation est verrouillée.
Le Québec s'en tire bien sur la note globale (83/100, A) et la sécurité des sites web (75 % servent l'en-tête HSTS). Mais sur le point qui compte le plus — bloquer l'usurpation — une entreprise sur quatre n'a rien du tout. Autrement dit : une belle façade, mais la porte d'entrée de la fraude reste grande ouverte pour 25 % d'entre elles.
Avec 54,5 % en « reject », les grandes entreprises françaises sont les moins bien protégées des trois contre l'usurpation directe — même si beaucoup sont en « quarantine » (les faux courriels partent au spam plutôt que d'être bloqués).
Souviens-toi : ces chiffres, ce sont les grandes entreprises, avec des équipes TI. Si un quart des plus grosses du Québec n'a aucun DMARC, la proportion chez les PME sans informaticien est bien plus élevée. Un faux courriel envoyé en votre nom qui piège un client, c'est une fausse facture, un incident de confidentialité (Loi 25) et un coup à votre réputation — peu importe la taille de votre entreprise.
Passer en DMARC « reject » ne coûte rien : ce sont de simples enregistrements DNS. Les grandes marques américaines l'ont fait ; une PME peut le faire aussi. La première étape, c'est de savoir où vous en êtes.
Entrez votre domaine : en 15 secondes, on teste vos SPF, DKIM, DMARC et votre site — gratuit, sans inscription, données publiques seulement.
Faire le bilan gratuit →Méthode et limites : 35 grandes entreprises et organisations connues analysées (Québec 16, France 11, États-Unis 8) avec le scanner public de Cyberbilan, sur informations publiques uniquement (DNS et en-têtes de site), en juillet 2026. Échantillon volontairement composé de grandes marques (pas de PME) et de taille modeste : à lire comme une tendance, pas un recensement. Plusieurs géants américains (FedEx, Best Buy, Ford…) bloquent les scanners automatisés et ont été exclus. Entreprises non nommées ; résultats reproductibles par n'importe qui.