La plupart des établissements financiers ont mis en place le protocole DMARC. Presque aucun n'est protégé.

Le chiffre clé : le problème de l'adoption est (presque) résolu

Commençons par la bonne nouvelle, car elle mérite d’être soulignée : le secteur des services financiers a adopté le protocole DMARC plus rapidement que presque tous les autres secteurs. Dans l’ensemble des pays étudiés par PowerDMARC, les services bancaires et financiers se classent systématiquement parmi les deux premiers secteurs au niveau national pour le simple fait de disposer d’un enregistrement DMARC, bien devant le commerce de détail, la santé ou le secteur public sur la plupart des marchés.

• Belgique : les établissements financiers sont « clairement en tête en matière d'adoption des mesures de sécurité des e-mails », seul 1 sur 12 d'entre eux ne disposant d'aucun enregistrement DMARC, selon le rapport DMARC 2025 de PowerDMARC consacré à la Belgique.
• Allemagne : selon le rapport DMARC 2025 de PowerDMARC consacré à l'Allemagne, le secteur bancaire « donne le ton » en matière de sécurité des e-mails à l'échelle nationale.
• Norvège : le secteur des services financiers affiche un taux d’adoption du protocole DMARC « quasi universel », seuls 6,8 % des domaines ne disposant d’aucun enregistrement, selon le rapport de PowerDMARC sur l’adoption des protocoles DMARC et MTA-STS en Norvège.
• États-Unis : Le rapport 2026 de PowerDMARC sur l'adoption des protocoles DMARC et MTA-STS aux États-Unis a révélé que le taux d'adoption global du protocole DMARC au niveau national s'élevait à 95,8 % sur plus de 900 domaines, ce qui correspond pratiquement à une adoption quasi universelle, le secteur bancaire et financier figurant parmi les principaux moteurs de ce chiffre.
• Canada : le secteur bancaire affiche l'un des taux de non-adoption les plus faibles du pays, avec seulement 8,0 % des domaines ne disposant d'aucun enregistrement DMARC, selon le rapport 2026 de PowerDMARC sur l'adoption des protocoles DMARC et MTA-STS au Canada.
• Pologne : selon le rapport « Poland DMARC & MTA-STS Adoption Report 2026 » publié par PowerDMARC, 83,7 % des domaines du secteur bancaire et financier disposent d’un enregistrement DMARC, même si 16,3 % d’entre eux, ce qui reste un chiffre significatif, n’en possèdent toujours pas.
• France : le secteur bancaire devance tous les autres en matière d'adoption des enregistrements, avec seulement 7,6 % des domaines ne disposant pas d'un enregistrement DMARC, selon le rapport 2026 de PowerDMARC sur l'adoption des normes DMARC et MTA-STS en France.

Consultez les rapports sur l'adoption du protocole DMARC par pays

Les raisons expliquant les taux d'adoption élevés en 2026

Le taux d'adoption élevé du protocole DMARC au sein des établissements financiers n'est pas le fruit du hasard. La pression réglementaire exercée sur ce secteur ne cesse de s'intensifier depuis des années et s'exerce désormais simultanément sous plusieurs angles.

• La norme PCI DSS v4.0.1 a fait des contrôles anti-hameçonnage une exigence obligatoire, et non plus une simple « bonne pratique », pour toute organisation traitant des données de cartes de paiement, à compter du 31 mars 2025. Dans ce cadre, les protocoles DMARC, SPF et DKIM sont recommandés pour répondre à ces exigences.
• Aux États-Unis, la « Safeguards Rule » de la FTC s'est discrètement étendue à un éventail d'activités financières bien plus large que la plupart des gens ne le pensent.
• Les autorités nationales de régulation financière, de Riyad à Ottawa, ont toutes relayé le même message dans le cadre de leurs missions respectives en matière de sécurité des domaines.
• Les principaux fournisseurs de messagerie ont ajouté leur propre pression à tout cela. Depuis février 2024, Google et Yahoo exigent que tout domaine envoyant plus de 5 000 e-mails par jour environ publie au moins un enregistrement DMARC « p=none » avec SPF DKIM alignés, sous peine de voir ses e-mails rejetés ou directement envoyés dans le dossier spam. Microsoft a adopté la même approche pour les expéditeurs à fort volume vers les adresses Outlook et Hotmail. Pour une banque qui envoie régulièrement des relevés et des alertes à des millions de clients Gmail et Yahoo, cela n’est désormais plus une option non plus.

La réalité : on est encore loin d'une application effective

C'est là que l'histoire prend un tournant. Au-delà des chiffres globaux de chaque pays, la même tendance se dessine partout où PowerDMARC a étudié le secteur : le secteur bancaire est généralement en tête de son économie nationale en matière de mise en conformité, mais même ce leadership laisse une grande partie du secteur vulnérable.

• États-Unis: Le rapport 2026 de PowerDMARC sur l’adoption des normes DMARC et MTA-STS aux États-Unis, qui a analysé plus de 900 domaines, estime le taux global d’application de la règle « p=reject » à 49,0 %, soit le plus élevé de tous les pays inclus dans l’analyse comparative de PowerDMARC. Le rapport attribue en partie ce résultat aux « obligations réglementaires précoces et à l’environnement à haut risque » dans des secteurs tels que la banque et la santé. Dans le secteur bancaire et financier en particulier, SPF s’élève à 90,9 %, tandis que l’adoption de MTA-STS, qui protège les messages en transit, n’atteint que 3,0 %.
• Canada: le secteur bancaire arrive en tête du pays en matière d’application de la norme, avec un taux de rejet de 42,0 %, selon le rapport 2026 de PowerDMARC sur l’adoption des normes DMARC et MTA-STS au Canada, qui a analysé 555 domaines. Ce même rapport indique que 8,0 % des domaines du secteur bancaire ne disposent d’aucun enregistrement DMARC et met directement en évidence cette lacune : « les 58,0 % restants, y compris ceux dont le statut est « Aucun » ou «Quarantine», restent vulnérables à des attaques d’usurpation d’identité sophistiquées pouvant entraîner des fraudes financières massives et une perte de confiance des clients. »
• Norvège: le secteur des services financiers affiche un taux de 44,7 % (p = rejet), ce qui en fait le deuxième secteur le plus performant après celui de la santé (55,6 %), selon le rapport de PowerDMARC sur l'adoption des normes DMARC et MTA-STS en Norvège.
• Arabie saoudite: le secteur bancaire, réglementé par la SAMA et constituant la partie la plus étroitement surveillée de l’économie saoudienne, a atteint un taux de conformité proche de 50 %, alors que le taux global de conformité du pays, tous secteurs confondus, ne s’élève qu’à 18,4 %, selon le rapport de PowerDMARC sur l’adoption des protocoles DMARC et MTA-STS en Arabie saoudite.
• Pologne: le secteur bancaire affiche le taux d'application le plus élevé de tous les secteurs polonais, avec 40,8 % de rejets, selon le rapport 2026 de PowerDMARC sur l'adoption des protocoles DMARC et MTA-STS en Pologne ; toutefois, 16,3 % des domaines bancaires ne disposent toujours d'aucun enregistrement DMARC, et le taux d'adoption de MTA-STS dans ce secteur est de 0 %.
• France: le secteur bancaire occupe clairement la première place au niveau national, avec un taux de rejet de 63,3 %, selon le rapport 2026 de PowerDMARC sur l'adoption des protocoles DMARC et MTA-STS en France. Malgré cela, 7,6 % des domaines bancaires français ne disposent d'aucun enregistrement DMARC et, comme en Pologne, le taux d'adoption de MTA-STS dans ce secteur est de 0 %.

En comparant ces chiffres, on constate une tendance qui se vérifie dans six pays et dans des contextes réglementaires très variés : le secteur bancaire est systématiquement celui où la mise en œuvre des mesures de sécurité est la plus stricte, ou presque, à l’échelle nationale, avec un taux de rejet (p=reject) se situant généralement entre 40 % et un peu plus de 60 %. Cela signifie toutefois qu’entre environ un tiers et 60 % des établissements financiers ne bloquent toujours pas systématiquement les e-mails usurpés.

Il existe une donnée véritablement encourageante qui mérite d’être soulignée en toute impartialité. L’étude menée par dmarcian sur les 100 plus grandes banques mondiales en termes de chiffre d’affaires a mis en évidence des progrès réels et mesurables entre 2021 et 2025 :

• Une baisse de 74 % du nombre de domaines ne comportant aucun enregistrement DMARC.
• Une baisse de 52 % du nombre de domaines dont la valeur p est toujours « none ».
• Une augmentation de 50 % du taux de rejet.

Ce que personne ne prend en compte : au-delà des mégabanques

Presque toutes les études menées par DMARC sur les services financiers, y compris celles dont les chiffres sont cités ci-dessus, portent sur le même segment restreint du secteur : les plus grandes banques américaines, les 100 premières banques mondiales en termes de chiffre d’affaires, ainsi que la poignée d’établissements suffisamment importants pour apparaître dans un scan de domaine national. Cela ne représente qu’une infime partie de ce que les régulateurs entendent réellement lorsqu’ils parlent d’« établissement financier ».

Qui est réellement concerné par la règle de protection de la FTC ?

Depuis 2024, la règle de la FTC relative aux mesures de protection s'applique à un public beaucoup plus large, défini en fonction de l'activité plutôt que du type d'établissement :

• Concessionnaires automobiles qui organisent ou facilitent le financement
• Courtiers en crédit immobilier
• Conseillers financiers et conseillers en investissement agréés
• Conseillers fiscaux
• Agences de recouvrement et prêteurs sur salaire

En substance, toute entreprise qui fournit des services financiers et recueille les données personnelles de ses clients peut être concernée par cette règle. Cela pourrait concerner, par exemple, un concessionnaire automobile régional traitant des demandes de prêt via une boîte de réception partagée, et pas seulement une grande banque nationale.

Il n'existe aucune étude spécifique sur la mise en œuvre du protocole DMARC au sein de ces entreprises, mais la situation générale est préoccupante. Le rapport 2025 Global DMARC Adoption Report d'EasyDMARC a révélé que seuls 7,7 % des 1,8 million de domaines de messagerie les plus importants au monde étaient entièrement protégés par une politique de rejet (p=reject). Cela signifie qu'environ 92 % d'entre eux n'étaient toujours pas protégés.

À retenir :

De nombreuses entreprises du secteur financier disposent peut-être d'enregistrements DMARC, mais elles sont bien moins nombreuses à avoir mis en place des mesures coercitives et restent très probablement vulnérables à l'usurpation d'identité.

Les noms de domaine .BANK doivent obligatoirement être mis en œuvre. Ce n'est pas le cas de la plupart des noms de domaine .com des banques.

Il existe ici un détail structurel qui fait que cette lacune en matière d’application ressemble moins à une limitation technique qu’à un choix. Tout domaine enregistré sous les domaines de premier niveau .BANK ou .INSURANCE a toujours été tenu de publier DMARC comme condition d’enregistrement. Depuis novembre 2023, cette exigence est allée plus loin : fTLD, l’opérateur de registre de ces TLD, a ajouté le DMARC pour les domaines à suffixe public (Public Suffix Domain DMARC) conformément à la RFC 9091, ce qui impose l’authentification au niveau même du registre. Dans la pratique, une politique « p=reject » est de fait obligatoire pour tous les domaines sous .BANK ou .INSURANCE.

En revanche, le domaine .com standard de cette même institution, celui qui s'adresse directement aux clients et qui figure effectivement dans la plupart des e-mails envoyés à ces derniers, n'est soumis à aucune exigence de ce type et, d'après les données ci-dessus, n'est respecté, au mieux, que dans environ la moitié des cas.

Ce contraste constitue la preuve la plus évidente qui soit que la mise en œuvre est un problème technique et opérationnel résolu dès lors qu’elle devient obligatoire. Il ne s’agit donc pas d’un déficit de capacités, mais d’un déficit en matière de politique et de hiérarchisation des priorités.

Pourquoi cet écart persiste-t-il ? (Ce n'est pas par ignorance)

Les raisons invoquées par les banques pour maintenir p=none ne tiennent pas à un manque de connaissances. D'après l'analyse de Red Sift, ces raisons sont la complexité opérationnelle et l'aversion au risque :

• Une grande banque achemine ses e-mails via des centaines de tiers légitimes : plateformes marketing, systèmes de gestion des prêts immobiliers, générateurs de relevés, fournisseurs de documents de prêt.
• Passer directement à l'état « p=reject » risque de bloquer le document de prêt ou l'avis de paie d'un client si l'un seul de ces expéditeurs n'est pas correctement authentifié.
• Pour une banque, un e-mail légitime bloqué constitue un incident à part entière, qui se manifeste immédiatement, tandis qu'un e-mail usurpé qui reste inactif représente un risque qui reste invisible jusqu'à ce qu'il se révèle.

C'est une préoccupation légitime, mais c'est aussi précisément ce à quoi vise le déploiement standard et progressif du protocole DMARC. Le parcours allant de « p=none » à « monitoring », puisquarantine « p=reject » existe justement pour permettre à une organisation d'identifier chaque expéditeur légitime avant de bloquer quoi que ce soit.

Ce que le terme « protégé » devrait signifier pour un établissement financier en 2026

Aujourd'hui, le seuil minimal raisonnable pour tout établissement financier se présente comme suit :

• Le protocole DMARC est appliqué avec le paramètre p=reject pour tous les domaines susceptibles d'envoyer ou d'être usurpés pour envoyer des communications financières, et pas uniquement pour le domaine principal de l'entreprise.
• La couverture s'étend aux domaines en attente et aux enregistrements défensifs, et pas uniquement à ceux qui sont activement utilisés pour la messagerie des clients.
• Un inventaire des sources d'origine qui soit réellement tenu à jour, afin que les fournisseurs tiers ne se retrouvent pas discrètement en décalage après le déploiement initial.

La norme PCI DSS v4.0.1 rend obligatoires les mesures de lutte contre le phishing pour les entités traitant des données de cartes bancaires à compter de mars 2025. La règle « Safeguards Rule » de la FTC s’applique déjà à un éventail bien plus large d’entreprises du secteur financier que ne le pensent la plupart des sociétés non bancaires. Aucune de ces deux réglementations ne considère qu’un enregistrement « p=none » est conforme, et aucune institution souhaitant se déclarer protégée ne devrait le faire non plus.

C'est là que la boucle se referme. Une institution peut affirmer en toute bonne foi qu'elle « dispose de DMARC » tout en ayant p=none, et être tout aussi exposée à l'usurpation d'identité qu'une autre qui n'a aucun enregistrement.

Comment PowerDMARC contribue à combler ce fossé

Passer de « p=none » à « p=reject » est un processus, pas un simple changement d’option, et c’est précisément là que la plupart des établissements financiers se heurtent à des difficultés. La plateforme PowerDMARC est conçue pour faciliter cette transition spécifique :

• Visibilité avant intervention : les informations en temps réel sur les menaces permettent d'identifier tous les domaines et tous les tiers envoyant des e-mails au nom d'un établissement, afin que les équipes de sécurité puissent déterminer qui doit être autorisé avant qu'un seul message ne soit bloqué.
• Authentification gérée : les solutions hébergées SPF, DKIM, DMARC, MTA-STS et BIMI permettent à une équipe de passer des phases de surveillance à celles de mise en conformité grâce à un tableau de bord de conformité en temps réel, plutôt que de devoir suivre manuellement des feuilles de calcul contenant les enregistrements DNS.
• Conformité aux exigences existantes : DMARC étant une mesure de contrôle spécifiquement mentionnée dans la norme PCI DSS v4.0.1, la mise en œuvre permettant à une banque de définir le paramètre « p=reject » répond également à une exigence déjà vérifiée par les auditeurs.
• Détection des menaces assistée par l'IA : cette solution vise à repérer les tentatives de phishing et les schémas de fraude BEC dans le secteur financier, tels que les ordres de virement falsifiés ou les fausses factures de fournisseurs, avant même qu'ils n'atteignent la boîte de réception.

Cela met fin à l'argument selon lequel la mise en œuvre serait trop complexe ou trop risquée pour aller de l'avant.

Réflexions finales

Le secteur des services financiers a réussi à généraliser l'adoption de ces mesures plus rapidement que presque tous les autres secteurs. Il n'a toutefois pas résolu le problème de l'application de ces mesures, et les institutions les moins susceptibles de les appliquer sont également celles qui ont le moins de chances d'apparaître dans une étude. Les chiffres du FBI lui-même montrent l’ampleur des enjeux : le rapport annuel 2025 de l’IC3 du FBI a enregistré, pour la première fois de son histoire, plus d’un million de plaintes liées à la cybercriminalité, représentant un total de 20,877 milliards de dollars de pertes, soit une hausse de 26 % par rapport à 2024. L’hameçonnage a été le type de crime le plus signalé, et à lui seul, le piratage des e-mails professionnels a représenté 3,05 milliards de dollars du total.

Ce qui manque, dans la plupart des établissements, ce n’est pas une solution. C’est la décision organisationnelle de l’utiliser réellement. Si vous souhaitez connaître la situation réelle des domaines de votre établissement, l’outil gratuit Domain Analyzer de PowerDMARC vous le montrera en moins d’une minute !

• À propos de
• Derniers messages

Ahona Rudra

Expert en sécurité des domaines et des e-mails chez PowerDMARC

Ahona est la responsable du marketing chez PowerDMARC, avec plus de 5 ans d'expérience dans l'écriture sur des sujets de cybersécurité, spécialisée dans la sécurité des domaines et des courriels. Ahona est titulaire d'un diplôme de troisième cycle en journalisme et communication, solidifiant sa carrière dans le secteur de la sécurité depuis 2019.

Derniers messages de Ahona Rudra (voir tous)

• La plupart des établissements financiers ont mis en place le protocole DMARC. Presque aucun n'est protégé. - 22 juillet 2026
• Qu'est-ce que la « fatigue MFA » (bombardement par poussée) ? - 21 juillet 2026
• Étude de cas DMARC MSP : comment Adoptive Technologies assure une sécurité centralisée des e-mails à ses clients grâce à PowerDMARC - 17 juillet 2026