Rapport sur l'adoption des protocoles DMARC et MTA-STS en Espagne – 2026

Le paysage des cybermenaces en Espagne a atteint un tournant décisif. Les données de l'Agence espagnole de protection des données (AEPD) révèlent une forte recrudescence des activités malveillantes, avec 1 737 notifications de fuites de données enregistrées rien qu’au cours des quatre premiers mois de 2026. Plus de 68 % de ces failles de sécurité sont classées comme des attaques intentionnelles et délibérées, principalement dues à des techniques sophistiquées de hameçonnage, à la compromission d’identifiants et à des opérations de rançongiciel. 

Si les entreprises espagnoles font preuve d'une grande maîtrise technique dans la configuration des protocoles de messagerie de base, leur réticence généralisée à appliquer des règles de sécurité strictes expose fortement leurs canaux de communication d'entreprise à l'usurpation de domaine, à l'usurpation d'identité et au chantage aux données.

En bref : principales conclusions pour l'ensemble de l'Espagne

Sur la base des données de référence exhaustives recueillies concernant l'écosystème numérique espagnol, l'état des lieux national en matière de sécurité des e-mails fait apparaître les tendances suivantes :

SPF

SPF: 97,0 % de réussite – Un alignement technique quasi universel existe à l'échelle nationale, ne laissant qu'une infime fraction de domaines mal configurés (3,0 % incorrects).

DMARC : Malgré la généralisation de la mise en place de la visibilité, seuls 18,0 % des domaines appliquent activement une politique stricte de « rejet ». Le reste du parc reste dangereusement exposé, n'étant soumis qu'à une simple surveillance p=none (34,1 %), ou ne bénéficie que d’une protection légère quarantine (22,4 %), des paramètres mal configurés (1,7 % incorrects) ou l'absence totale de protection DMARC (23,8 % : aucun enregistrement).

MTA-STS : Un énorme angle mort à l'échelle nationale, avec un taux de non-adoption de 99,2 %, ce qui rend le trafic de messagerie électronique au niveau de la couche de transport extrêmement vulnérable à l'interception sur l'ensemble du territoire.

Espagne - DNSSEC

DNSSEC : Seuls 10,4 % sont activés – ce qui laisse un nombre stupéfiant de 89,6 % des domaines vulnérables au détournement de domaine, à la redirection malveillante du trafic et à l’empoisonnement du cache.

Démarrer l'essai de 15 jours

Analyse sectorielle

1. Secteur bancaire : une approche de pointe en matière d'application de la réglementation malgré des lacunes en matière de transport

En tant que cible principale de la la fraude financière, les réseaux bancaires espagnols sont les plus rigoureux du pays en matière de déploiement du protocole DMARC, mais ils restent exposés aux interceptions au niveau de la couche de transport.

Métrique Statut
SPF 98,1 % de réponses correctes (1,9 % d'erreurs)
Rejet DMARC 38,1 % (en tête au niveau national)
Politiques DMARC 22,9 % ont répondu «quarantine, 27,6 % « aucune », 0,9 % ont donné une réponse incorrecte
Écart DMARC 10,5 % n'ont pas d'antécédents judiciaires
MTA-STS 1,9 % de données valides (98,1 % de données manquantes)
DNSSEC 7,6 % activé (92,4 % désactivé)
Secteur bancaire - Adoption du SPF ---SPF

Scénario de menace

Bien qu’elle arrive en tête au niveau national avec un taux de 38,1 % p = rejet , près d’un tiers des établissements bancaires fonctionnent selon un suivi passif (p=aucun , soit 27,6 %) ou ne disposent d’aucune couche DMARC. Cela permet à des acteurs malveillants de se faire passer pour des entités financières, tandis que l’écart de 98,1 % au niveau du MTA-STS permet aux attaquants de mener des attaques par rétrogradation afin de lire des reçus de transaction sensibles en texte clair.

La solution PowerDMARC

Grâce à la technologie automatisée hébergement MTA-STS automatisé, PowerDMARC achemine tous les e-mails entrants via des canaux TLS 1.2+ chiffrés, éliminant ainsi le risque d'interception de type « Man-in-the-Middle » (MiTM) et sécurisant les communications bancaires à forte valeur ajoutée.

2. Santé : forte exposition et dossiers manquants

Confronté à un cadre réglementaire strict dans le cadre du RGPD, le secteur de la santé espagnol reste fortement exposé aux attaques par ransomware et au vol de données en raison de l'insuffisance des mesures de protection mises en œuvre.

Métrique Statut
SPF 95,6 % de réponses correctes (4,4 % d'erreurs)
Rejet DMARC 8.8%
Politiques DMARC 22,8 % dans la catégorie «quarantine, 33,3 % dans la catégorie « aucune »
Écart DMARC 35,1 % ne disposent absolument pas de DMARC
MTA-STS Taux d'adoption de 0,0 % (100,0 % d'absence de données)
DNSSEC 4,4 % activé (95,6 % désactivé)
Soins de santé-DMARC-Adoption

Scénario de menace

Avec plus d'un tiers des prestataires de soins de santé ne disposant d'aucune configuration DMARC (35,1 %) et un taux de rejet actif dérisoire de 8,8 %, les pirates parviennent facilement à usurper des identités cliniques. Les e-mails de hameçonnage se faisant passer pour les services d'approvisionnement des hôpitaux ou les portails patients contournent sans difficulté les filtres pour déployer des ransomwares à l'échelle du réseau.

La solution PowerDMARC

Nous accompagnons les professionnels de santé tout au long d’un parcours de mise en œuvre structuré afin de passer en douceur du mode « monitor » à un mode strict politique de rejet , neutralisant ainsi les campagnes de phishing avant qu’elles n’atteignent les boîtes de réception du personnel clinique.

3. Gouvernement : une infrastructure DNS solide, mais un contrôle laxiste

Les domaines publics officiels présentent une excellente infrastructure de base, mais souffrent d’un manque d’application des politiques concernant domaines gouvernementaux ouvre la voie à l'usurpation d'identité.

Métrique Statut
SPF 100,0 % de bonnes réponses (Premier au niveau national)
Rejet DMARC 15.7%
Politiques DMARC 23,5 % ont choisi «quarantine, 24,5 % « aucune », 6,9 % ont donné une réponse incorrecte
Écart DMARC 29,4 % ne disposent pas du tout de DMARC
MTA-STS Taux d'adoption de 0,0 % (100,0 % d'absence de données)
DNSSEC 45,1 % activés (leader du secteur)
Gouvernement - MTA - STS - Adoption

Scénario de menace

Le secteur public espagnol est en tête en matière de vérification des enregistrements cryptographiques, avec un taux d’adoption du protocole DNSSEC impressionnant de 45,1 %. Cependant, comme 29,4 % ne disposent pas d’enregistrements DMARC et que 24,5 % se contentent d’une surveillance (p=none), les pirates parviennent à usurper l'identité des pouvoirs publics pour envoyer de fausses directives administratives ou cibler les citoyens avec des e-mails de hameçonnage liés à des escroqueries fiscales.

La solution PowerDMARC

Notre tableau de bord multi-locataires permet aux organismes publics centraux de surveiller et de sécuriser de vastes réseaux de sous-domaines à partir d'un seul et même panneau, ce qui simplifie la transition vers une politique stricte p=reject.

Réservez une démo

4. Formation : suivi rigoureux, niveau de défense effectif faible

Les établissements universitaires hébergent d'énormes quantités de dossiers étudiants et de données de recherche, mais ont fortement tendance à se contenter de surveiller les menaces plutôt que de les bloquer.

Métrique Statut
SPF 97,6 % de réponses correctes (2,4 % d'erreurs)
Rejet DMARC 9.5%
Politiques DMARC 34,5 % ont coché «quarantine, 46,4 % « aucune », 7,2 % ont donné une réponse incorrecte
Écart DMARC 2,4 % ne disposent pas du tout de DMARC
MTA-STS Taux d'adoption de 0,0 % (100,0 % d'absence de données)
DNSSEC 8,3 % activé (91,7 % désactivé)
Éducation -SPF- Adoption

Scénario de menace

Les établissements d'enseignement ont réussi à mettre en place les enregistrements de base, si bien que seuls 2,4 % d'entre eux ne disposent pas encore de DMARC. Cependant, une proportion considérable, soit 46,4 %, reste bloquée en mode passif p=none . Les escrocs profitent de cette faible présence en ligne pour diffuser de fausses factures de frais de scolarité ou des pages destinées à collecter des identifiants, ciblant les réseaux universitaires.

La solution PowerDMARC

Les établissements universitaires dépassent souvent la limite de 10 requêtes DNS en raison de l'utilisation d'outils logiciels cloud décentralisés au niveau des départements. PowerSPF compresse ces configurations, garantissant ainsi que la correspondance universitaire légitime ne soit jamais accidentellement perdue en raison de limitations techniques.

5. Énergie : des infrastructures essentielles exposées à des risques

Le secteur énergétique espagnol se caractérise par une grande rigueur sur le fond, mais la sécurité de son périmètre de messagerie électronique au sens large laisse à désirer.

Métrique Statut
SPF 95,6 % de réponses correctes (4,4 % d'erreurs)
Rejet DMARC 22.1%
Politiques DMARC 15,9 % dans la catégorie «quarantine, 34,5 % dans la catégorie « aucune », 0,9 % d'erreurs
Écart DMARC 26,6 % ne disposent absolument pas de DMARC
MTA-STS 0,9 % de données valides (99,1 % sans donnée)
DNSSEC 7,1 % activé (92,9 % désactivé)
Adoption de DMARC dans le secteur de l'énergie

Scénario de menace

Plus d'un quart (26,6 %) des réseaux énergétiques ne disposent d'aucune protection DMARC, tandis que 34,5 % se situent à p=none. Cette vulnérabilité permet aux attaquants de se faire passer pour de grands services publics et fournisseurs, et de mener des campagnes de « Business Email Compromise » (BEC) afin de manipuler les chaînes d'approvisionnement critiques.

La solution PowerDMARC

PowerDMARC associe la validation DMARC aux protocoles MTA-STS hébergés, vérifiant ainsi la légitimité de l'expéditeur tout en garantissant que les messages transitant par des nœuds externes restent entièrement chiffrés.

6. Médias : grande visibilité dans les configurations passives

Les médias reposent sur la confiance du public, mais leur stratégie défensive les expose à des atteintes à leur image de marque.

Métrique Statut
SPF 96,1 % de réponses correctes (3,9 % d'erreurs)
Rejet DMARC 19.7%
Politiques DMARC 18,5 % dans la catégorie «quarantine, 37,6 % dans la catégorie « aucune », 0,6 % d'erreurs
Écart DMARC 23,6 % ne disposent absolument pas de DMARC
MTA-STS 1,7 % de données valides (98,3 % sans donnée)
DNSSEC 2,8 % activés (niveau faible pour le secteur)
Médias - MTA - STS - Adoption

Scénario de menace

Un recours à la surveillance passive à hauteur de 37,6 % (p = aucune), associée à un faible taux de configuration DNSSEC (2,8 %), fait des rédactions des cibles faciles. Les pirates peuvent usurper des domaines de médias pour diffuser de fausses informations, publier de faux communiqués de presse ou voler les identifiants des journalistes.

La solution PowerDMARC

Nous aidons les entreprises du secteur des médias à configurer les indicateurs de marque pour l'identification des messages (BIMI), en plaçant des logos d'entreprise vérifiés directement dans les boîtes de réception des destinataires, comme un cachet certifié d'authenticité.

Démarrer l'essai de 15 jours

7. Télécommunications : la vulnérabilité liée à la politique « Aucune »

En tant que pilier de l'économie numérique, les opérateurs de télécommunications gèrent des volumes de trafic importants, mais accusent un retard en matière d'application stricte des politiques actives.

Métrique Statut
SPF 92,0 % de réponses correctes (8,0 % d'erreurs)
Rejet DMARC 14.0%
Politiques DMARC 22,0 % dans la catégorie «quarantine, 44,0 % dans la catégorie « aucune » (record du secteur)
Écart DMARC 20,0 % n'utilisent pas du tout DMARC
MTA-STS Taux d'adoption de 0,0 % (100,0 % d'absence de données)
DNSSEC 6,0 % activé (94,0 % désactivé)
Logo BIMI

Scénario de menace

Les opérateurs de télécommunications sont ceux qui recourent le plus à un mode de surveillance passive (p = aucune avec 44,0 %). Les cybercriminels tirent parti de cette absence de défense active pour mener des opérations de hameçonnage à grande échelle par SMS et par e-mail, en usurpant l'identité de marques de télécommunications afin de dérober les identifiants et les coordonnées bancaires des consommateurs.

La solution PowerDMARC

Nous imposons une transition immédiate vers p=reject sur l'ensemble des écosystèmes des opérateurs, empêchant ainsi les attaquants d'utiliser des identifiants de télécommunications légitimes pour exploiter la base d'abonnés.

8. Transports : des fondations reposant sur des cadres non contraignants

Les réseaux logistiques reposent sur des communications rapides et automatisées avec les clients, mais les règles qui les régissent sont très peu appliquées.

Métrique Statut
SPF 99,2 % de réponses correctes (0,8 % d'erreurs)
Rejet DMARC 12.4%
Politiques DMARC 23,9 % ont répondu «quarantine, 30,6 % « aucune », 2,5 % ont donné une réponse incorrecte
Écart DMARC 30,6 % ne disposent absolument pas de DMARC
MTA-STS 0,8 % de données valides (99,2 % sans donnée)
DNSSEC 6,6 % activé (93,4 % désactivé)
Adoption deSPF

Scénario de menace

Avec 30,6 % des domaines de transport totalement non configurés et 30,6 % en veille à p=none, le secteur est extrêmement vulnérable à la fraude logistique. Les cybercriminels falsifient les communications relatives au fret et à la livraison afin de modifier les manifestes d'expédition et de rediriger les paiements des factures.

La solution PowerDMARC

PowerDMARC protège l'environnement commercial en garantissant que chaque bordereau de livraison et chaque facture automatisée sont authentifiés et vérifiés avant d'arriver à la passerelle d'un partenaire.

Sous le capot : quatre faiblesses structurelles

1. Le « piège de la conformité » de p=none

L'une des principales conclusions qui se dégagent à l'échelle de l'Espagne est le recours massif à une configuration limitée à la surveillance (p=aucun à 34,1 % au niveau national). Bien que cette configuration permette de suivre le trafic entrant, elle ne fait absolument rien pour empêcher les attaques d'usurpation d'identité par des tiers.

L'avis d'un expert :

« De nombreuses entreprises pensent qu’elles sont en sécurité simplement parce qu’elles disposent d’un enregistrement DMARC. Or, une politique de suivi est un outil d’observation, pas un bouclier. Tant que vous n’aurez pas adopté une politique active de « rejet », votre marque restera vulnérable à l’usurpation d’identité. »

Maitham Al Lawati, PDG, PowerDMARC

L'avis d'un expert :

« Les infrastructures technologiques modernes des entreprises permettent de dépasser facilement les limites standard de recherche. La mise en place d’un système automatisé du «SPF » est essentielle pour éviter les erreurs de configuration et garantir une distribution du courrier continue et sécurisée. »

Yunes Tarada, gestionnaire de la prestation de services, PowerDMARC

2. SPF et limites de recherche

À mesure que les entreprises intègrent des applications cloud externes, des plateformes de paiement et des outils marketing, leurs SPF atteignent rapidement la limite des 10 requêtes DNS, ce qui rend le protocole inopérant et fait passer des e-mails légitimes dans le dossier spam.

3. MTA-STS : la faille dans le cryptage

Avec 99,2 % des domaines espagnols fonctionnant sans MTA-STS, le routage des e-mails repose en grande partie sur un chiffrement opportuniste, ce qui rend le chemin de transfert vulnérable aux écoutes et à l'interception de données.

L'avis d'un expert :

« Sans l'application du protocole MTA-STS, les pirates réseau peuvent facilement forcer les transferts de courrier à s'effectuer en clair par le biais d'attaques de rétrogradation. Le déploiement de chemins de chiffrement gérés est essentiel pour garantir une confidentialité totale au niveau de la couche de transport. »

Ayan Bhuiya, chef d'équipe des opérations et de la livraison, PowerDMARC

L'avis d'un expert :

«Le détournement DNS peut anéantir en quelques secondes des années de confiance accordée à votre entreprise. La mise en œuvre du protocole DNSSEC fournit la vérification cryptographique nécessaire pour garantir que le trafic Internet parvienne bien à vos serveurs légitimes plutôt qu’à la réplique d’un adversaire. »

Ahona Rudra, responsable marketing, PowerDMARC

4. DNSSEC : la protection du réseau central

Avec un taux d'adoption global de seulement 10,4 %, les 89,6 % exposent les entreprises à des attaques de redirection malveillante et d’empoisonnement du cache.

Contactez-nous

Analyse comparative mondiale : l'Espagne dans son contexte

L'Espagne affiche un niveau de référence exceptionnellement élevé en matière de précision de la configuration de base (SPF), mais reste à la traîne par rapport aux leaders mondiaux en ce qui concerne l'application automatisée active (p = rejet) et de la protection des transferts.

Classement mondial : données comparatives pour 2026

Pays SPF Correct Rejet DMARC MTA-STS DNSSEC
Espagne 97.0% 18.0% 0.8% 10.4%
Italie 91.0% 16.7% 1.0% 3.5%
Pologne 98.9% 21.2% 0.9% 15.7%
Pays-Bas 70.0% 23.2% 0.9% 37.7%
Brésil 92.1% 20.7% 0.7% 21.9%
Équateur 96.1% 24.9% 1.4% 4.8%
ÉTATS-UNIS 95.7% 49% 1.7% 18.0%
ROYAUME-UNI 93.7% 44.1% 20.6% 3.8%

L'Espagne sous les feux de la rampe mondiale : analyse 2026

1
Le paradoxe de la configuration

L'Espagne affiche un taux exceptionnel SPF de 97,0 %, surpassant des pays comme l’Australie (92,3 %) et le Brésil (92,1 %). Cependant, cette précision technique ne se traduit pas par une protection active, puisque son taux de rejet de 18,0 % est bien en deçà de la norme d'application de 46,7 % de l'Australie.

2
Le déficit cryptographique

En Espagne, taux d’adoption du DNSSEC de 10,4 % la place devant l'Australie (6,8 %) et l'Équateur (4,8 %), mais elle reste loin derrière les normes établies par les Pays-Bas (37,7 %) et le Brésil (21,9 %), ce qui souligne clairement la nécessité d'améliorer l'intégrité de la recherche dans les annuaires.

3
Le fossé mondial en matière de chiffrement

À l'image des tendances internationales, le taux d'adoption de la technologie MTA-STS en Espagne reste faible, à 0,8 %. Bien que ce chiffre soit comparable à ceux de la Pologne (0,9 %) et du Brésil (0,7 %), cette exposition généralisée montre que la sécurité de la couche de transport reste un risque non maîtrisé dans la plupart des régions.

Perspective PowerDMARC

« L'Espagne a mis en place une base technique très louable en matière de visibilité des domaines grâce à SPF grande SPF de son SPF à l'échelle nationale ; toutefois, les lacunes dans l'application des politiques qui subsistent constituent toujours une vulnérabilité importante. Les organisations locales excellent dans la mise en place initiale et la configuration des domaines, mais accusent un retard en matière de défense active du périmètre. La directive est claire : il s'agit de passer d'une observation passive à une application stricte en transformant les configurations de visibilité existantes en configurations renforcées p=reject renforcées. »

Conclusion : des indicateurs à l'action

Les données de 2026 montrent que, bien que l'Espagne ait mis en place une base technique solide, son périmètre de défense reste incomplet. Pour préserver leur avenir numérique, les organisations devraient se concentrer sur trois améliorations principales :

Fonctionnalités de PowerDMARC Enterprise

Aller au-delà de la simple surveillance

SPF élevé SPF la mise en place d'un DMARC de base ne servent pas à grand-chose si des e-mails usurpés continuent d'atteindre les boîtes de réception des utilisateurs. Le passage des domaines du mode de surveillance à un état strict « p=reject » via Hosted DMARC garantit que les e-mails non autorisés sont bloqués au niveau de la passerelle.

Sécurisation des données en transit

Avec 99,2 % du réseau exposé à des manipulations au niveau du transport, le déploiement d'un MTA-STS hébergé est essentiel pour garantir la sécurité des communications d'entreprise contre toute interception.

Assurer la continuité des opérations

Éliminez les erreurs de configuration de la vérification qui peuvent perturber la correspondance légitime de l'entreprise. Le déploiement SPF hébergé SPF la fiabilité de la distribution alors que les environnements cloud gagnent en complexité.

Réserver une démo Contactez nous

Recherche et sources de données

Méthodologie PowerDMARC

Analyse des enregistrements DNS

Requêtes DNS actives sur des échantillons de domaines issus des 8 secteurs, avec récupération et validation des enregistrements SPF, DMARC, MTA-STS et DNSSEC conformément aux normes RFC applicables.

Échantillonnage sectoriel

Domaines identifiés à partir de registres accessibles au public et de répertoires sectoriels en Espagne, dans les secteurs suivants : finance (banque), santé, administration publique, éducation, énergie, médias, télécommunications et transports.

Analyse comparative mondiale

Tous les chiffres de référence proviennent des rapports nationaux publiés par PowerDMARC pour le Brésil, l'Italie, l'Équateur, la Pologne, les Pays-Bas, les États-Unis et le Royaume-Uni, et ont été obtenus à l'aide d'une méthodologie d'analyse DNS cohérente.

Classification des risques

Les notes de risque sectorielles sont calculées à partir d'un indice composite tenant compte du taux de rejet, de la proportion de domaines ne disposant pas d'enregistrement DMARC, SPF et du faible taux d'adoption du protocole MTA-STS parmi les domaines analysés en Espagne.

Réserver une démo Contactez nous

Transformez la visibilité en défense dès aujourd'hui

Les taux élevés d'adoption des technologies en Espagne démontrent que les administrateurs informatiques du pays comptent parmi les plus compétents de la région ; il leur suffit simplement de disposer du mandat et des outils nécessaires pour passer à la vitesse supérieure en matière de mise en œuvre.

Ne laissez pas votre domaine rester un système sophistiqué qui assiste impuissant à une intrusion sans pouvoir l'empêcher. Protégez votre réputation et vos données avant que la prochaine grande campagne internationale de phishing ne vise votre secteur d'activité.

Contactez-nous chez PowerDMARC pour entamer votre parcours, de la surveillance à l'application stricte des règles.

15 jours d'essaiRéservez une démo