50 % des principales organisations de Boston n'ont pas une protection DMARC complète

• 50,5 % des principales organisations de Boston ont atteint le niveau d'application de DMARC (p=reject), ce qui signifie que 49,5 % restent exposées
• 22 domaines (22,2 %) n'ont aucune protection DMARC significative, avec une politique p=none ou aucun enregistrement DMARC
• 27 domaines (27,3 %) sont bloqués au niveau quarantaine, à seulement quelques semaines d'une protection complète, mais sans avoir terminé la démarche
• Google, Microsoft et Yahoo rejettent désormais les e-mails en masse non conformes au niveau SMTP, faisant de l'application une question de délivrabilité autant que de sécurité

La dernière analyse de conformité DMARC de Red Sift a porté sur 99 domaines appartenant aux principales organisations de Boston. Les résultats dressent un tableau clair : les entreprises de cette ville se répartissent presque à parts égales entre celles qui sont protégées et celles qui sont exposées.

Un peu plus de la moitié, soit 50 domaines (50,5 %), ont atteint le niveau p=reject. C'est le niveau de politique DMARC qui bloque réellement les e-mails usurpés avant qu'ils n'atteignent les boîtes de réception. Les 49 autres domaines ? Ils sont soit partiellement protégés, soit totalement exposés à l'usurpation d'identité.

22 de ces 49 domaines n'ont absolument aucune protection DMARC efficace. Cela comprend 18 domaines fonctionnant avec une politique p=none (qui surveille mais ne prend aucune mesure contre les e-mails usurpés) et 4 domaines sans aucun enregistrement DMARC publié.

Les 27 domaines restants se situent au niveau p=quarantine. Ces organisations ont accompli la majeure partie du travail. Leurs e-mails usurpés sont signalés et redirigés vers les dossiers spam. Mais elles n'ont pas franchi la dernière étape vers le rejet, ce qui signifie que les messages frauduleux peuvent toujours atteindre les destinataires.

Pour une ville qui abrite d'importantes sociétés de services financiers, des prestataires de soins de santé, des universités et des entreprises technologiques, un taux de vulnérabilité de 49,5 % est un problème qui mérite d'être résolu.

Il y a deux ans, DMARC était une bonne pratique. En 2026, c'est une exigence de base. Trois choses ont changé.

Google et Yahoo ont commencé à exiger DMARC pour les expéditeurs en masse en février 2024. Microsoft a suivi en mai 2025. Depuis fin 2025, Google est passé à une application stricte au niveau SMTP, ce qui signifie que les e-mails non conformes reçoivent désormais des erreurs de rejet permanentes (codes 550) plutôt que des reports temporaires.

Ces trois fournisseurs contrôlent plus de 80 % de l'infrastructure mondiale de messagerie. Si votre domaine ne répond pas à leurs normes d'authentification, vos e-mails n'atteignent pas vos clients. Ce n'est pas un risque de sécurité. C'est un problème de continuité des activités.

L'IC3 du FBI a signalé 2,77 milliards de dollars de pertes liées à la compromission des e-mails professionnels (BEC) en 2024, avec 21 442 plaintes déposées. Le BEC a été la deuxième catégorie de cybercriminalité la plus dommageable financièrement, juste derrière la fraude aux investissements. Le total des pertes liées à la cybercriminalité signalées a atteint 16,6 milliards de dollars en 2024, soit une hausse de 33 % par rapport à l'année précédente.

Les attaques BEC reposent sur l'usurpation d'identité par e-mail. Un attaquant envoie un e-mail qui semble provenir d'un dirigeant, d'un fournisseur ou d'un partenaire de confiance, et convainc le destinataire de transférer des fonds ou de partager des données sensibles. DMARC en mode d'application (p=reject) bloque ces messages usurpés avant qu'ils n'atteignent leur cible.

PCI DSS 4.0.1 exige DMARC pour les organisations traitant des données de cartes de paiement. Le NCSC britannique recommande depuis longtemps un niveau d'application DMARC pour les organisations du secteur public. NIS2 dans l'UE impose des exigences similaires en matière d'authentification des e-mails. Pour les secteurs réglementés à Boston (services financiers, santé, éducation), DMARC n'est pas optionnel. C'est une obligation de conformité.

Il ne s'agit pas uniquement de sécurité. Les organisations sans application DMARC risquent de voir leurs e-mails légitimes rejetés ou envoyés vers les spams par Google, Microsoft et Yahoo. Les campagnes marketing, les factures, les communications avec les clients et la correspondance avec les partenaires dépendent tous de la délivrabilité. Une politique DMARC manquante ou faible a désormais un impact direct sur le chiffre d'affaires.

Red Sift OnDMARC est conçu pour les organisations qui souhaitent atteindre rapidement le niveau d'application de DMARC et le maintenir.

• Atteignez le niveau d'application en quelques semaines, pas en quelques mois : La moyenne du secteur pour la mise en œuvre de DMARC est d'environ 32 semaines avec des approches manuelles. Red Sift OnDMARC permet généralement aux organisations d'atteindre p=reject en 6 à 8 semaines. La plateforme automatise les parties complexes : identification de toutes les sources d'envoi légitimes, gestion des configurations SPF et DKIM, et conseils clairs sur ce qu'il faut corriger et quand.
• SPF dynamique qui empêche la dérive de configuration : Les enregistrements SPF ont une limite stricte de 10 requêtes DNS. Au fur et à mesure que les organisations ajoutent davantage de services d'e-mail tiers (plateformes marketing, CRM, systèmes de billetterie, outils de facturation), elles atteignent rapidement ce plafond. La technologie SPF dynamique de Red Sift gère cela automatiquement, en gardant SPF valide sans jonglage manuel des enregistrements.
• Visibilité complète sur chaque source d'envoi : OnDMARC traite les rapports agrégés et forensiques DMARC et les présente dans un tableau de bord clair qui indique précisément qui envoie des e-mails au nom de votre domaine, si cela est autorisé, et si l'authentification est réussie. Fini l'analyse du XML brut. Fini les suppositions sur le service tiers mal configuré.
• Conçu pour les environnements complexes : Les plus grandes organisations de Boston ne disposent pas de configurations d'e-mail simples. Elles utilisent des dizaines d'expéditeurs tiers, gèrent plusieurs domaines et sous-domaines, et opèrent à travers des départements qui ont chacun leurs propres outils. OnDMARC est conçu pour cette complexité, avec une gestion multi-domaines, des rapports granulaires et des intégrations qui évoluent avec votre infrastructure de messagerie.
• Surveillance continue après l'application : Atteindre p=reject n'est pas la ligne d'arrivée. De nouveaux services d'envoi sont ajoutés. Les configurations dérivent. Les acquisitions apportent de nouveaux domaines dans le périmètre. OnDMARC fournit une surveillance et des alertes continues afin que votre posture DMARC reste appliquée, même à mesure que votre écosystème de messagerie évolue.

Pour les 27 organisations de Boston actuellement en quarantaine, le passage au rejet est à portée de main. Pour les 22 qui n'ont aucune protection efficace, il est temps de commencer maintenant.