72 % des organisations québécoises ne bloquent pas l'usurpation par courriel

En août 2026, nous avons vérifié les enregistrements DNS publics de 296 organisations québécoises réparties dans neuf secteurs : santé, universités, cégeps, centres de services scolaires, municipalités, services de police, ordres professionnels, cabinets d'avocats et cabinets comptables.

Il ne s'agit pas d'un sondage. Personne n'a été interrogé. Nous avons simplement lu la politique DMARC que chaque organisation publie déjà au monde entier — un registre public que n'importe qui peut consulter en quelques secondes.

Nous ne nommons aucun domaine. L'objectif n'est pas de pointer qui que ce soit du doigt. C'est que la plupart de ces organisations n'ont jamais vérifié où elles se situent.

Il n'y a que trois réponses possibles

DMARC est la règle qu'un domaine publie pour indiquer à tous les serveurs de courriel d'Internet quoi faire lorsqu'on falsifie un message en son nom. Il y a trois réponses, et chaque organisation en a déjà choisi une — même si elle l'a choisie en ne faisant rien.

Seule la troisième arrête réellement l'usurpation.

Ce qu'ont choisi 296 organisations québécoises

24 % sont grandes ouvertes — un message falsifié provenant de ces domaines atteint la boîte de réception sans se distinguer d'un vrai. 72 % ne bloquent pas du tout l'usurpation, si l'on inclut celles qui se contentent de l'envoyer aux indésirables.

La véritable histoire, c'est le 48 % au milieu

Les organisations qui nous ont surpris ne sont pas les négligentes. Ce sont les 142 sur 296 qui se trouvent à p=quarantine.

Ces organisations ont fait le plus dur. Elles ont publié un enregistrement DMARC. Elles ont analysé les rapports. Elles ont déterminé lesquels de leurs propres systèmes envoient du courriel en leur nom — la plateforme d'infolettre, l'outil de paie, le système de billetterie — ce qui constitue véritablement la partie difficile et ingrate d'un déploiement DMARC.

Puis elles se sont arrêtées à un réglage près, sans jamais actionner le dernier interrupteur.

Un message falsifié dans les indésirables reste un message falsifié qui a été livré. Il peut être retrouvé, ouvert et cru. Bien des gens fouillent leurs indésirables à la recherche d'un message qu'ils attendaient — et c'est précisément à ce moment qu'une fausse bonne imitation se fait lire.

Le secteur qui se démarque

Sur les 47 ordres professionnels qui encadrent les ingénieurs, infirmières, avocats, comptables et médecins du Québec, exactement un seul bloque complètement l'usurpation de son propre domaine.

Cela représente 2 % en application complète — le résultat le plus faible de toute l'étude.

Ce sont des organisations qui détiennent des tableaux de membres : noms, adresses professionnelles, numéros de permis. Un message indiquant « l'état de votre permis requiert une attention immédiate », provenant en apparence de l'organisme qui délivre justement ce permis, est une falsification particulièrement facile à fabriquer et particulièrement efficace à recevoir.

Le secteur qui a déjà réglé le problème

La conclusion la plus utile est celle qui a renversé notre prédiction : les 48 cégeps, 4 % usurpables.

Nous avons revérifié ce résultat directement dans le DNS, justement parce qu'il contredisait nos attentes. Il tient. Le réseau collégial a agi sur DMARC de façon concertée — on retrouve les mêmes adresses de rapport chez plusieurs d'entre eux — et ça a fonctionné.

C'est important, parce que cela élimine les deux objections habituelles. Tout un secteur de 48 établissements publics, aucun d'eux richement financé, l'a fait. « Trop complexe » et « trop cher » ne sont pas la raison pour laquelle les autres ne l'ont pas fait.

À noter également : le domaine du gouvernement du Québec publie p=reject et, comme il ne définit aucune politique distincte pour ses sous-domaines, tous les organismes gouvernementaux qui s'y rattachent héritent de cette application complète. Cela se fait déjà, ici, à grande échelle.

Comment nous avons mesuré

DNS public uniquement — enregistrements DMARC et MX. Aucun serveur de courriel n'a été sondé, rien n'a été balayé. Chaque affirmation ici est un fait vérifiable au sujet d'un registre public tel qu'il se présentait en août 2026.

Deux règles étaient assez importantes pour être intégrées à l'outil, car chacune représente une façon dont les chiffres auraient pu être faussés :

• Les sous-domaines héritent. L'absence d'enregistrement à _dmarc.sous.exemple.org ne signifie pas « aucun DMARC ». Selon la RFC 7489, il faut remonter au domaine organisationnel et appliquer sa politique de sous-domaine. Sans cela, on étiquette à tort une grande partie du secteur public comme non protégée alors qu'elle est entièrement couverte.
• Un domaine qui ne reçoit aucun courriel a été exclu, non comptabilisé. Ce sont généralement des domaines de vitrine ou de redirection, pas l'adresse à partir de laquelle une organisation écrit réellement. Les compter gonflerait le résultat avec des domaines que personne ne chercherait à usurper.

Quelques limites, en toute transparence. La santé compte 17 domaines de courriel distincts plutôt que 34 organisations, parce que le réseau des CISSS/CIUSSS écrit en grande partie à partir d'un domaine partagé. La plupart des services de police municipaux n'ont pas de domaine de courriel propre et utilisent celui de leur ville : ces deux secteurs se chevauchent donc et ne constituent pas des échantillons indépendants. Les municipalités sont les 50 plus grandes par population plutôt qu'un recensement ; tous les autres secteurs sont des recensements complets de leur univers. Les parts sont arrondies au pourcentage entier.

Vérifiez votre propre domaine

La vérification prend une dizaine de secondes et ne demande que votre nom de domaine. Elle lit le même registre public que nous avons lu et vous indique laquelle des trois réponses vous donnez en ce moment.

Si vous vous trouvez à p=quarantine, vous êtes plus près du but que vous ne le pensez. Le travail difficile est déjà derrière vous — il ne reste que le dernier interrupteur.

Vérifiez votre domaine maintenant →

Étude réalisée en août 2026 à partir d'enregistrements DNS publics. Aucune organisation n'est nommée. La méthode, les résultats par secteur et les limites sont décrits en détail ci-dessus.