59 domaines de médias canadiens sur 100 peuvent être usurpés par courriel

En septembre 2026, nous avons lu les enregistrements DNS publics de 105 médias et groupes de presse canadiens : les salles de nouvelles nationales, les principaux quotidiens et stations de télé de chaque province et territoire, des radios, des médias numériques, et les groupes qui en possèdent la plupart.

Ce n'est pas un sondage. Personne n'a été questionné. Nous avons lu la politique DMARC que chaque organisation publie déjà au monde entier.

Nous ne nommons aucun domaine. Une salle de nouvelles dont l'adresse peut être imitée, c'est une salle de nouvelles dont les lecteurs et les sources peuvent être trompés. Le but est que ce soit corrigé, pas de mettre qui que ce soit dans l'embarras.

Trois réponses possibles

DMARC est la règle qu'un domaine publie pour dire à tous les serveurs de courriel quoi faire d'un message qui se fait passer pour lui.

Ce qu'ont choisi les médias canadiens

Sur les 100 domaines qui reçoivent du courriel :

• 59 (59 %) sont grands ouverts : 9 ne publient aucun enregistrement DMARC, 50 en publient un réglé à none.
• 25 (25 %) envoient les faux messages aux indésirables.
• 16 (16 %) les refusent.

Autrement dit, seuls 16 sur 100 refusent carrément un faux message. Pour 59, un faux message arrive dans la boîte de réception de n'importe qui (lecteurs, sources, annonceurs, et même le personnel du média), l'air authentique.

Pourquoi c'est grave pour une salle de nouvelles

Une salle de nouvelles vit de deux confiances : celle des lecteurs qui croient ce qui arrive sous son nom, et celle des sources qui répondent quand un journaliste écrit. Un faux message venant du domaine même d'un média peut demander des documents à une source, envoyer des lecteurs vers une fausse page d'abonnement ou prêter des propos à un journaliste. Avec une politique grande ouverte, rien dans le système de courriel ne l'arrête.

Ça fonctionne aussi à l'interne : une fausse note « du » rédacteur en chef à la salle de nouvelles, qui demande un mot de passe ou un paiement urgent, arrive aussi crédible que la vraie.

La plupart sont à une étape près

37 des 50 médias à none reçoivent déjà des rapports DMARC. Ils ont fait le plus difficile : ils savent quels systèmes envoient du courriel en leur nom. Il reste le réglage qui dit au reste d'Internet de refuser les faux.

Et 20 des 59 domaines grands ouverts sont protégés par une passerelle de sécurité payante (Proofpoint ou Mimecast). La partie coûteuse est achetée. La partie gratuite, publier la politique, n'est pas faite.

Comment nous avons mesuré

DNS public seulement : enregistrements DMARC et MX, lus le 30 septembre 2026. Aucun serveur de courriel n'a été sondé, rien n'a été balayé. Chaque énoncé ici est un fait vérifiable sur un enregistrement public tel qu'il était ce jour-là.

• Un domaine qui ne reçoit pas de courriel a été exclu, pas compté. 5 des 105 ne publient aucun serveur de courriel.
• Les groupes propriétaires sont comptés une fois, pour leur propre domaine. Quand un groupe possède plusieurs médias, le domaine de chacun est aussi compté, car chacun peut être imité séparément.
• C'est une sélection, pas un recensement : les médias qu'un lecteur de chaque province nommerait en premier, plus les groupes qui les possèdent. Les pourcentages sont arrondis à l'unité.

Vérifiez votre propre domaine

La vérification prend une dizaine de secondes et ne demande que votre nom de domaine. Elle lit le même enregistrement public que nous.

Vérifiez votre domaine maintenant →

Étude réalisée en septembre 2026 à partir d'enregistrements DNS publics. Aucune organisation n'est nommée.