Exigences relatives au DMARC au Japon : le MIC, la JSDA et le Conseil de lutte contre le phishing

Le Japon a connu une période difficile en matière de hameçonnage. En 2025, des cybercriminels ont utilisé de faux e-mails provenant de sociétés de courtage pour pirater les comptes de clients et effectuer des transactions non autorisées, ce qui a poussé les autorités de régulation à réagir rapidement. Cet article explique les exigences relatives au protocole DMARC au Japon telles qu’elles sont définies par trois organismes : le ministère des Affaires intérieures et des Communications (MIC), l’Association japonaise des courtiers en valeurs mobilières (JSDA) et le Conseil japonais de lutte contre le hameçonnage. Vous découvrirez quel est le champ d’application de chacun, quelles sont les politiques attendues et quelles sont les prochaines étapes à suivre. DMARC (Domain-based Message Authentication, Reporting and Conformance) est un protocole d’authentification des e-mails qui indique aux serveurs destinataires comment traiter les messages qui échouent aux contrôles d’SPF et de DKIM sur votre domaine.

Pourquoi le Japon encourage-t-il la mise en œuvre du protocole DMARC ?

En avril 2025, la réunion ministérielle sur la lutte contre la criminalité a adopté le document intitulé « Mesures globales visant à protéger le public contre la fraude 2.0 ». L'une des actions prévues pour lutter contre les e-mails et SMS frauduleux consiste à généraliser l'authentification du domaine de l'expéditeur, par exemple via le protocole DMARC. C'est dans ce contexte politique que s'inscrivent toutes les informations présentées ci-dessous.

Le point de départ a été les comptes-titres. La lettre du MIC indique que les pirates ont utilisé des identifiants et des mots de passe volés via des e-mails de hameçonnage se faisant passer pour de véritables sociétés de courtage, puis ont effectué des transactions sur les comptes des clients sans leur autorisation. Dans son rapport sur le hameçonnage de 2026, le Conseil japonais de lutte contre le hameçonnage a estimé à environ 739,3 milliards de yens les pertes liées à ces transactions non autorisées en 2025. Ce même rapport a recensé 2 454 297 signalements de hameçonnage pour l’année 2025, un chiffre record représentant environ 1,43 fois le total de 2024.

Le MIC avance une deuxième raison. L'IA générative est désormais capable de produire en masse des textes en japonais au style naturel ; ainsi, les formulations maladroites ne permettent plus de démasquer un e-mail de hameçonnage. Cela confère davantage d'importance aux vérifications que le lecteur n'a plus besoin d'effectuer, comme l'authentification de l'expéditeur. 

Pour les notions de base, consultez l'importance du protocole DMARC, et pour les chiffres relatifs à son adoption, consultez notre rapport sur l'adoption de DMARC et MTA-STS au Japon.

Demande DMARC du MIC (Ministère des Affaires intérieures et des Communications)

À qui s'adresse la demande du MIC ?

Le 1er septembre 2025, le MIC a adressé une lettre de demande (document 総基用第76号) intitulée « Renforcement des mesures de lutte contre les e-mails de hameçonnage ». Cette lettre a été envoyée à quatre associations : l’Association des opérateurs de télécommunications, l’Association des services de télécommunications, l’Association japonaise des fournisseurs d’accès à Internet et la Fédération japonaise de la télévision par câble. Le MIC a demandé à chacune d’entre elles de transmettre cette demande à ses opérateurs et FAI membres. Les entreprises ordinaires ne sont pas directement concernées.

La lettre précise son propre statut juridique. Elle relève des orientations administratives au sens de l'article 2, point 6, de la loi sur la procédure administrative, et ne constitue pas un acte administratif formel.

Que demande le MIC ?

Le MIC formule trois demandes dans le cadre de la rubrique « Renforcement des mesures de lutte contre les e-mails de hameçonnage » :

1. Un filtrage plus efficace des e-mails. Améliorer la précision des filtres, notamment grâce à l’IA pour la détection des spams, et régler l’intensité du filtrage afin qu’il puisse contrer les tentatives d’hameçonnage plus sophistiquées.
2. DMARC des deux côtés. Déployez DMARC et définissez une politique d’ quarantine ion ou de rejet. Du côté du destinataire, traitez les e-mails conformément à la politique DMARC de l’expéditeur et envoyez des rapports DMARC. Le MIC demande également aux fournisseurs de prendre activement en compte la réputation du domaine, le BIMI (Brand Indicators for Message Identification) et les mesures de lutte contre l’abus de relais.
3. Sensibilisation des utilisateurs. Faire connaître les services anti-hameçonnage déjà proposés par le fournisseur à un plus grand nombre d'utilisateurs.

Il existe également une obligation de rendre compte. Le MIC a demandé aux associations d'assurer le suivi des progrès de leurs membres de septembre 2025 à fin août 2026 et de rendre compte tous les trois mois au ministère, dans un délai d'un mois après la fin de chaque période. Cette période de suivi étant désormais terminée, consultez le site du MIC pour connaître la suite des événements.

Directives DMARC de la JSDA (Association japonaise des courtiers en valeurs mobilières)

L' Association japonaise des courtiers en valeurs mobilières (JSDA) Les directives DMARC de la JSDA constituent un ensemble de consignes de sécurité établies par la JSDA, l'organisme d'autorégulation des sociétés de services d'investissement au Japon, qui visent à protéger les investisseurs particuliers et les marchés financiers contre le phishing, l'usurpation d'identité et l'accès non autorisé aux comptes par e-mail.

En intégrant DMARC dans son cadre de conformité réglementaire, la JSDA impose aux sociétés de bourse de mettre en œuvre des normes strictes en matière de protocoles d’authentification de domaine. Cela permet de garantir que les e-mails frauduleux prétendant provenir de sociétés de courtage officielles soient bloqués avant d’atteindre les clients. L’objectif est d’empêcher des acteurs malveillants de voler des identifiants de connexion et des autorisations d’exécution.

Quels changements la révision des lignes directrices d'octobre 2025 a-t-elle apportés ?

La JSDA a révisé son « Guide pour la prévention des accès non autorisés dans le cadre des opérations boursières en ligne » le 15 octobre 2025, et cette révision est entrée en vigueur le jour même. La raison invoquée est que les identifiants volés par le hameçonnage et les logiciels malveillants étaient utilisés pour des opérations boursières abusives, et pas seulement pour des retraits illicites.

Le point relatif au DMARC figure dans la section consacrée à la prévention du phishing, au sein du niveau « Standard ». La JSDA définit le niveau « Standard » comme regroupant les éléments que les membres doivent mettre en œuvre, tandis que le niveau « Meilleures pratiques » couvre les éléments recommandés. Le texte invite les entreprises à identifier les domaines qu’elles utilisent pour envoyer des e-mails à leurs clients, à déployer le DMARC de manière planifiée, à examiner les rapports DMARC, puis à définir une politique de rejet. Le texte indique une date d’entrée en vigueur, mais ne fixe aucune échéance pour la mise en place de la politique de rejet.

D'autres éléments standard de cette même section revêtent une importance particulière pour les équipes chargées de la gestion des e-mails :

• Gérer les noms de domaine dans le cadre de la stratégie de marque, notamment leur cycle de vie et les mesures de protection contre la récupération de noms de domaine expirés et la prise de contrôle de sous-domaines
• Supprimer les sites de hameçonnage qui usurpent l'identité de l'entreprise
• Utilisez le code court SMS partagé et publiez-le
• Évitez d'inclure dans vos e-mails et SMS des liens de connexion ou des URL permettant de saisir un mot de passe, sauf s'il n'y a pas d'autre solution.

Les signatures BIMI et S/MIME pour les e-mails de notification sont répertoriées comme « bonnes pratiques ». Cette même révision fait également de l'authentification multifactorielle (MFA) résistante au phishing, telle que les clés d'accès ou la connexion basée sur une infrastructure à clé publique (PKI), une exigence standard qui doit être activée par défaut pour la connexion, les retraits et les modifications du compte bancaire de retrait.

Quelle est la situation actuelle des sociétés de courtage ?

L'enquête de TwoFive, publiée le 21 mai 2026, portait sur 200 cabinets membres de la JSDA et 421 domaines. Elle a révélé que 48,7 % de ces domaines étaient protégés par une politique d'application (quarantine ou rejet), contre 36,4 % en novembre 2025. Les entreprises de l'indice Nikkei 225 affichaient un taux de 18,5 % selon ce même critère.

La part des entreprises ayant activé DMARC sur au moins un domaine est passée d’environ 71,6 % en mai 2025 à environ 77,6 % en novembre 2025, pour atteindre environ 81,0 % aujourd’hui. Le nombre de domaines publiant un certificat BIMI (VMC ou CMC) a augmenté de 5 % à 21 % en six mois. TwoFive attribue cette hausse à la vague de piratages de comptes et à la révision des recommandations. Un peu plus de la moitié des domaines des sociétés de courtage ne respectent toujours pas ces exigences.

Directives du Conseil japonais de lutte contre le phishing (フィッシング対策協議会)

Le Conseil a publié le 1er juin 2026 son guide de lutte contre le phishing, édition 2026. L'authentification du domaine de l'expéditeur, illustrée par l'exemple du protocole DMARC, figure parmi les cinq points prioritaires. Le guide recommande de définir la valeur p=reject. Il préconise également d'afficher le logo de la marque via un VMC (Verified Mark Certificate) et d'utiliser des services de messagerie web qui affichent les icônes des marques, afin que les utilisateurs puissent reconnaître l'expéditeur sans avoir à lire les noms de domaine. Le protocole DMARC est apparu pour la première fois dans ce guide en 2022.

Autre point à ce sujet tiré de l'édition 2026 : utilisez le même nom de domaine pour votre site web et pour l'adresse d'expéditeur dans les e-mails envoyés aux utilisateurs. Cette directive est une recommandation. Elle n'impose en aucun cas l'utilisation de BIMI.

Le rapport 2026 du Conseil sur le phishing ajoute une mise en garde. En février 2025, les e-mails provenant d’expéditeurs usurpés ont bondi pour représenter environ 69,0 % des signalements, et ces attaques ciblaient des domaines avec p=none ou dépourvus de toute configuration DMARC. Après octobre, la part de ces domaines est tombée à environ 27,0 %. Le rapport suggère que la demande MIC de septembre a peut-être dissuadé les attaquants de recourir à l'usurpation d'identité, et qu'en décembre, les attaques provenant de leurs propres domaines et respectant les règles DMARC représentaient environ 75,3 %.

Le principe est simple. DMARC protège votre domaine, et non les domaines similaires enregistrés par un pirate. Il doit donc être associé à une surveillance de la marque et des domaines similaires.

MIC, JSDA et Anti-Phishing Council : comparaison côte à côte

Autres facteurs : normes gouvernementales et règles mondiales relatives aux boîtes aux lettres

Trois autres sources vont dans le même sens. En février 2023, le MIC, l’Agence nationale de police et le ministère de l’Économie, du Commerce et de l’Industrie (METI) ont conjointement demandé aux sociétés émettrices de cartes de crédit de déployer le protocole DMARC sur tous les domaines qu’elles mettent à la disposition des utilisateurs, y compris ceux qui n’envoient pas d’e-mails, et d’appliquer une politique rejetant les e-mails usurpés. Notre guide PCI DSS 4.0 sur le DMARC aborde l’aspect financier. Les recommandations du Centre national de préparation aux incidents et de stratégie en matière de cybersécurité (NISC) concernant les règles de sécurité des administrations publiques mentionnent également le protocole DMARC pour l’envoi et la réception d’e-mails, et son projet pour l’exercice 2023 conseillait aux administrations de ne pas rester trop longtemps sur le paramètre « p=none ».

Les fournisseurs de messagerie fixent des critères moins stricts. Les règles de Gmail relatives aux expéditeurs de masse s’appliquent aux expéditeurs envoyant plus de 5 000 messages par jour, tandis que celles d’Outlook.com sont entrées en vigueur le 5 mai 2025 pour le même volume. Les deux exigent l’ SPF, le DKIM et le DMARC, mais la valeur « p=none » suffit. C’est pourquoi la valeur « p=none » respecte les règles des fournisseurs de messagerie tout en restant en deçà des attentes des autorités de régulation japonaises. 

Pour une vue d'ensemble, consultez notre guide des exigences DMARC, et pour un exemple local, l'adoption de DMARC par Yahoo! JAPAN.

Comment se conformer aux exigences DMARC au Japon, étape par étape

La procédure à suivre pour obtenir un statut « p=reject » est la même, quelle que soit l'entité à laquelle vous répondez. Notre guide DMARC contient tous les détails relatifs à la mise en œuvre.

1. Répertoriez tous les domaines et sous-domaines en contact avec la clientèle. Incluez les domaines parqués et ceux qui n'envoient jamais d'e-mails. C'est également ce que JSDA entend par « identifier les domaines à partir desquels vous envoyez des e-mails à vos clients ».
2. Publier p=none avec rua. Un enregistrement de démarrage se présente comme suit : v=DMARC1; p=none; rua=mailto:[email protected]. Laissez les rapports s'exécuter jusqu'à ce que vous puissiez identifier tous les expéditeurs légitimes.
3. Alignez l'SPF et le DKIM pour chaque fournisseur de services de messagerie (ESP) et chaque outil SaaS. Les plateformes marketing, les outils de gestion des billets et les systèmes de facturation sont souvent source de surprises. Surveillez la limite d'SPF , fixée à 10 requêtes DNS, qui bat déjà de nombreux records à ce stade.
4. Accédez à quarantine. La RFC 9989, publiée en mai 2026, a remplacé la RFC 7489. Elle supprime la balise « pct » et ajoute « t » pour le mode test, « np » pour les sous-domaines inexistants et « psd » pour les domaines à suffixe public. Les destinataires l'adoptent à des rythmes différents ; vérifiez donc les rapports après chaque modification.
5. Proposition de rejet. La JSDA en fait la demande après examen du rapport, et le Conseil la recommande. Effectuer un contrôle de conformité DMARC avant et après la migration.
6. Protéger les domaines parqués et ceux qui n'envoient pas de messages. Publiez un enregistrement p=reject et un enregistrement « SPF » de type v=spf1 -all sur ces derniers, car les attaquants ciblent souvent les domaines inutilisés.
7. Ajoutez le BIMI à l'aide d'un VMC ou d'un CMC. BIMI nécessite au préalable la mise en place d'une politique d'application. La JSDA le classe parmi les meilleures pratiques, et le Conseil recommande l'affichage du logo.
8. Ajouter MTA-STS. Aucun des trois organismes ne l'exige, mais cela protège les e-mails en transit et s'intègre parfaitement à DMARC.

PowerDMARC prend en charge toutes ces étapes depuis une seule et même plateforme. Il héberge vos enregistrements DMARC, SPF, DKIM, MTA-STS et BIMI ; ainsi, la plupart des modifications DNS s’effectuent depuis le tableau de bord, et il génère des rapports agrégés pour l’examen des rapports exigé par la JSDA. La chronologie DNS affiche l’évolution des enregistrements au fil du temps. Les alertes de prise de contrôle DNS, disponibles dans les formules Enterprise, détectent les enregistrements NS, MX, CNAME et A/AAAA orphelins ainsi que la prise de contrôle de sous-domaines SPF , ce qui correspond au critère de prise de contrôle de sous-domaines de la JSDA. L’outil de test de délivrabilité des e-mails vérifie le placement dans la boîte de réception auprès de six fournisseurs de test (Gmail, Outlook, Yahoo Mail, iCloud, AWS Mail et Zoho Mail). L’agent IA DMARC, en version bêta pour les utilisateurs des formules Basic et Enterprise, répond aux questions d’authentification directement depuis le tableau de bord, tandis que le serveur MCP connecte votre compte à des hôtes IA tels que Claude Desktop, Cursor et Claude Code. Si vous comparez différents fournisseurs, consultez notre liste des meilleures solutions DMARC au Japon et notre analyse des coûts et tarifs DMARC en 2026.

Conclusion : ce que les exigences DMARC au Japon impliquent pour vous

Au Japon, les exigences DMARC vont toutes dans le même sens, même si leur force juridique varie. Le MIC préconise la mise en place d’une politique « quarantine » ou « reject » chez tous les opérateurs et FAI, la JSDA préconise la politique « reject » pour les sociétés de courtage, et le Conseil recommande la politique « reject » à tous ceux qui ont une marque à protéger. Si vous en êtes encore au niveau « p=none », commencez par dresser l’inventaire et établir les rapports.

Effectuez une vérification gratuite avec notre outil de vérification des enregistrements DMARC japonais ou lancez un essai gratuit de 15 jours de PowerDMARC. Pour une vision plus globale du marché, consultez notre page consacrée au DMARC au Japon.

FAQ sur les exigences DMARC au Japon

Le protocole DMARC est-il obligatoire d'un point de vue juridique au Japon ?

Aucun des trois documents mentionnés dans cet article n'a valeur de loi, et aucun d'entre eux ne prévoit d'amendes. La lettre du MIC constitue une directive administrative, le texte de la JSDA est une ligne directrice d'autorégulation et celui du Conseil est une recommandation.

La demande de MIC s'applique-t-elle aux entreprises ordinaires ?

Pas directement. La lettre est adressée à quatre associations représentant leurs membres : les opérateurs de télécommunications, les FAI et les câblo-opérateurs. La partie concernant les destinataires reste toutefois importante pour vous, car ces fournisseurs sont invités à se conformer aux politiques DMARC des expéditeurs, et l'absence d'enregistrement ou un enregistrement « p=none » ne leur fournit aucune base sur laquelle s'appuyer pour agir.

Quelle politique DMARC la JSDA exige-t-elle ?

Refuser. La directive demande aux entreprises d'identifier les domaines de messagerie de leurs clients, de déployer DMARC de manière planifiée, d'examiner les rapports DMARC, puis de définir la politique de refus.

Y a-t-il une date limite à laquelle les sociétés de bourse doivent prendre une décision de rejet ?

Cette directive est entrée en vigueur le 15 octobre 2025 et ne prévoit pas de délai spécifique pour le rejet. Consultez le site de la JSDA pour prendre connaissance de toute communication ultérieure.

Le Conseil anti-hameçonnage impose-t-il l'utilisation de BIMI ?

Non. La directive de 2026 recommande l'affichage du logo via un VMC et des icônes de marque dans la messagerie web. La JSDA cite le BIMI comme « meilleure pratique », et le MIC invite les fournisseurs à l'envisager.

Que se passe-t-il si on reste à p=none ?

Les destinataires reçoivent les e-mails usurpés comme d'habitude, car le paramètre « p=none » se contente d'effectuer une surveillance. Vous ne répondriez à aucune de ces trois attentes, et le rapport du Conseil a révélé que les attaquants privilégiaient les domaines configurés avec « p=none » ou dépourvus de DMARC.