KI-Barometer · Swiss Web Report
Rapport suisse sur la sécurité des e-mails 2026
Un état des lieux DNS de 2'459'127 domaines .ch.
Publié le 19 août 2026 · Peter Hadorn
En résumé : 7 domaines d'entreprises suisses sur 10 qui reçoivent des e-mails n'ont pas mis en place de protection efficace contre les expéditeurs falsifiés. Concrètement, des criminels pourraient envoyer des e-mails qui semblent provenir de l'entreprise elle-même, par exemple pour du phishing, de fausses factures ou une fraude au président (le patron écrirait soi-disant en personne pour demander un virement urgent).
70,1% des domaines .ch qui reçoivent des e-mails (avec enregistrement MX) n'ont pas d'application DMARC effective.
Le DMARC est la règle qui détermine ce qui doit arriver à un e-mail falsifié: ne rien faire (simple surveillance), le déplacer dans le dossier spam, ou le bloquer complètement. « Pas d'application effective » signifie: soit cette règle est totalement absente, soit elle est réglée uniquement sur « surveillance » (p=none) et ne bloque rien. Cela ne signifie pas qu'une entreprise a été piratée ou qu'une boîte aux lettres est compromise. C'est une protection technique manquante, pas un incident de sécurité. Seuls 13,3% appliquent la règle la plus stricte: le blocage actif (p=reject).
Qu'est-ce qui a été mesuré et pourquoi est-ce pertinent?
N'importe quel domaine .ch peut en théorie être détourné pour de la fraude par e-mail en son propre nom, qu'il envoie lui-même des e-mails ou non. La qualité de sa défense technique est visible publiquement dans le DNS, dans les enregistrements MX, SPF, DKIM, DMARC, DNSSEC, TLSA/DANE, BIMI, MTA-STS, TLS-RPT et CAA. Ce sont précisément ces enregistrements que ce rapport a analysés. Ils déterminent qui est autorisé à envoyer des e-mails au nom d'un domaine et ce qu'un serveur de messagerie destinataire doit faire lorsqu'un message ne passe pas ce contrôle.
Les termes essentiels en langage simple:
- DNS: l'annuaire d'Internet. Il traduit une adresse comme
entreprise.chen informations techniques, y compris les réglages de sécurité pour les e-mails. - Enregistrement MX: indique qu'un domaine peut recevoir des e-mails.
- SPF: une liste des serveurs autorisés à envoyer des e-mails au nom d'un domaine.
- DKIM: une signature numérique sur chaque e-mail, qui permet de vérifier s'il a été modifié en chemin.
- DMARC: la règle qui détermine ce qui doit arriver quand un e-mail échoue au contrôle SPF ou DKIM: surveiller, mettre en spam, ou bloquer.
Les adresses d'expéditeur falsifiées figurent parmi les outils les plus courants du phishing et de la fraude au président (Business E-Mail Compromise). SPF, DKIM et DMARC y répondent: les standards ouverts établis avec lesquels un domaine contrôle qui est autorisé à envoyer des e-mails en son nom et comment un destinataire traite les messages non autorisés.
La présence d'un enregistrement SPF ne signifie pas une protection complète, et la publication d'un enregistrement DMARC n'équivaut pas à son application. Ces deux distinctions sont le fondement de ce rapport.
État des données: 19 août 2026. → Méthodologie & limites
3. Couverture et méthodologie en bref
Source: fichier de zone .ch de SWITCH. Scan en août 2026, requêtes DNS passives, deux cycles complets. Les 5,5% avec erreur DNS persistante sont considérés comme non mesurés, pas comme non protégés, et sont exclus de tous les pourcentages suivants. Sauf indication contraire, tous les pourcentages SPF, DKIM et DMARC de ce rapport se rapportent aux 1'708'618 domaines avec enregistrement MX (73,5% des 2'324'088 domaines évalués côté DNS), et non à l'ensemble des domaines .ch.
Presse
- 2'459'127 domaines .ch vérifiés, 1'708'618 évalués avec enregistrement MX
- 70,1% sans application DMARC effective (aucun enregistrement ou seulement
p=none) - Seuls 13,3% appliquent la règle la plus stricte
p=reject - 20,1% avec sélecteur DKIM détectable; 31,72% d'entre eux avec une clé faible (≤ 1024 bits)
4. DMARC: publication versus application effective
DMARC (Domain-based Message Authentication, Reporting and Conformance) s'appuie sur SPF et DKIM et règle la conséquence: que doit-il se passer quand un e-mail échoue à l'un de ces contrôles? Trois réponses sont possibles: ne rien faire et seulement signaler (p=none), déplacer vers le dossier spam (p=quarantine), ou rejeter (p=reject). Seules les deux dernières règles protègent activement contre l'usurpation de domaine. Un enregistrement publié ne suffit pas, il doit aussi être appliqué.
Base: 1'708'618 domaines .ch avec enregistrement MX. Parmi les 57,2% sans enregistrement, 99,97% n'ont jamais configuré d'enregistrement DMARC; seuls 308 domaines ont un enregistrement mal formaté sans politique valide, une erreur de configuration rare, pas la norme.
Au total, cela représente 70,1%: 1'197'112 domaines sur 1'708'618 avec enregistrement MX n'ont soit aucun enregistrement DMARC (57,2%), soit seulement la règle de surveillance p=none (12,9%), qui ne bloque ni ne redirige aucun e-mail. Cela indique une configuration DNS absente ou incomplète, pas un incident de sécurité.
Application partielle et alignement strict
Parmi les 731'804 domaines avec enregistrement DMARC (42,8% des domaines avec enregistrement MX), 0,49% n'appliquent la règle qu'à une partie des e-mails (tag pct inférieur à 100). 12,05% utilisent un alignement strict (adkim=s ou aspf=s), qui exige une correspondance plus étroite entre le domaine d'expéditeur visible et le nom de domaine vérifié par SPF/DKIM.
28,4% des 615'470 domaines sans enregistrement MX publient tout de même un enregistrement DMARC. Ces domaines n'envoient aucun e-mail eux-mêmes, mais publient probablement cette règle pour empêcher que quelqu'un d'autre usurpe leur nom à des fins de spoofing.
5. SPF et DKIM
SPF (Sender Policy Framework) publie quels serveurs de messagerie sont autorisés à envoyer au nom d'un domaine. DKIM (DomainKeys Identified Mail) signe cryptographiquement les e-mails, afin qu'un destinataire puisse vérifier si un message a été modifié en chemin. Les deux sont une condition préalable à DMARC, mais ne le remplacent pas. Un enregistrement SPF ou DKIM présent ne signifie, à lui seul, aucune protection complète.
SPF
Base: 1'708'618 domaines .ch avec enregistrement MX. 5,1% utilisent le mécanisme neutre ?all, qui n'autorise ni n'empêche explicitement le spoofing. 19,3% ont un enregistrement SPF, mais aucun mécanisme de clôture all reconnaissable.
0,43% supplémentaires de tous les domaines .ch analysables (pas seulement les domaines avec MX) utilisent encore l'ancien type de ressource DNS SPF 99 (type RR 99), marqué comme obsolète par la RFC 7208 et qui n'est plus évalué par les serveurs de messagerie modernes. 29,3% des 615'470 domaines sans enregistrement MX publient tout de même un enregistrement SPF, le plus souvent pour signaler que le domaine n'envoie aucun e-mail.
La présence d'un enregistrement SPF ne signifie pas une protection complète: cette analyse n'effectue pas une évaluation récursive complète selon la RFC 7208 (les chaînes imbriquées include: et redirect= ne sont pas entièrement résolues). Un enregistrement SPF avec -all est un signal fort, mais SPF seul n'authentifie cryptographiquement aucun message et ne protège pas contre toutes les variantes de spoofing.
DKIM
« Sélecteur trouvé »: 20,1% des 1'708'618 domaines avec enregistrement MX. Les deux autres valeurs se rapportent aux 342'876 domaines pour lesquels un sélecteur a été trouvé.
Limite inférieure, pas un relevé exhaustif: la détection DKIM vérifie une liste de noms de sélecteurs connus et propres à certains fournisseurs (entre autres les sélecteurs standards de Microsoft 365 et de Google Workspace). Les noms de sélecteurs individuels et personnalisés ne sont pas détectés. 20,1% est donc une limite inférieure, pas une preuve complète de l'utilisation réelle de DKIM. L'évaluation « clé faible » se base sur la longueur de la clé publique encodée en base64 dans l'enregistrement DNS, et non sur un audit cryptographique.
6. Infrastructure e-mail suisse
73,5% des 2'324'088 domaines .ch évalués côté DNS ont un enregistrement MX et sont donc configurés pour la réception d'e-mails. Qui héberge cette infrastructure? Le tableau ci-dessous classe les enregistrements MX par catégorie de fournisseur, comme simple aperçu de part de marché, pas comme évaluation de la sécurité ou de la qualité de fournisseurs individuels.
| Catégorie | Domaines | Part |
|---|---|---|
| Hébergement propre | 433'207 | 25,4% |
| Autres / non reconnu | 410'893 | 24,0% |
| Hostpoint | 348'745 | 20,4% |
| Infomaniak | 179'364 | 10,5% |
| Microsoft 365 | 160'321 | 9,4% |
| Google Workspace | 59'756 | 3,5% |
| Autres fournisseurs (chacun < 3%, non détaillés ici) | — | 6,8% |
Base: 1'708'618 domaines .ch avec enregistrement MX. « Hébergement propre » désigne les enregistrements MX qui pointent vers une infrastructure non reconnue comme fournisseur tiers (par exemple un serveur de messagerie propre), sans qu'il s'agisse nécessairement d'un serveur exploité dans son propre centre de données.
Au-delà de la répartition des fournisseurs de messagerie: 53,9% des 2'324'088 domaines .ch évalués côté DNS sont signés DNSSEC, et 96,4% ont un enregistrement NS régulier (plutôt qu'une configuration de serveur de noms défectueuse ou parquée).
Cet aperçu classe les enregistrements MX par catégorie de fournisseur. Il n'évalue pas si un fournisseur particulier est plus ou moins sûr qu'un autre. Les propriétés de sécurité SPF, DKIM et DMARC de ce rapport sont mesurées par domaine, indépendamment du fournisseur d'hébergement.
7. Normes plus récentes: DNSSEC, DANE, MTA-STS, TLS-RPT, BIMI, CAA
Outre SPF, DKIM et DMARC, il existe d'autres normes de sécurité DNS plus récentes pour les e-mails et le chiffrement du transport. Leur diffusion en Suisse varie fortement, allant d'une forte concentration chez quelques grands hébergeurs à une utilisation quasiment inexistante.
| DNSSEC signé | 53,9% | de tous les 2'324'088 domaines .ch évalués |
| TLSA/DANE pour SMTP | 38,33% | des domaines avec enregistrement MX |
| Hôte MX orphelin (non résolvable) | 2,24% | des domaines avec enregistrement MX |
| Enregistrement CAA | 1,5% | des domaines avec enregistrement MX |
| TLS-RPT | 0,2% | des domaines avec enregistrement MX |
| BIMI | 0,1% | des domaines avec enregistrement MX |
| MTA-STS (enregistrement TXT présent) | 0,1% | des domaines avec enregistrement MX |
Ne pas lire la valeur TLSA/DANE comme une diffusion large: 38,33% paraît élevé, mais est fortement concentré chez quelques grands hébergeurs mutualisés suisses, qui semblent avoir activé DANE au niveau de la plateforme pour l'ensemble de leur clientèle. Ce n'est pas le signe d'une configuration individuelle large et consciente de la part des titulaires de domaines.
Un risque plus restreint, mais concret: 2,24% des domaines avec enregistrement MX, 38'351 domaines, ont au moins un hôte MX qui n'est plus résolvable (ni enregistrement A ni AAAA, confirmé par NXDOMAIN ou une absence nette des deux types d'enregistrement). Un tel enregistrement orphelin peut être exploité par des attaquants dans des scénarios de prise de contrôle de domaine.
Les quatre normes restantes, MTA-STS, TLS-RPT, BIMI et CAA, se situent toutes sous 2%. Pour MTA-STS, seule la présence de l'enregistrement DNS TXT a été vérifiée, pas le fichier de politique lui-même: celui-ci est récupéré via HTTPS depuis un sous-domaine dédié et ne faisait pas partie de ce scan DNS passif. Un enregistrement TXT présent ne constitue donc pas une preuve d'un mode MTA-STS activement appliqué.
8. Ce que ce rapport ne mesure pas
Cette mesure est un instantané DNS, pas un test de délivrabilité des e-mails, ni un test de phishing, de piratage ou de boîtes aux lettres compromises.
Ce rapport n'est explicitement pas non plus:
- Un test de la délivrabilité effective des e-mails d'un domaine
- Un test de phishing ou de spam
- Un test de fuite de données ou de violation (breach)
- Un test de boîtes aux lettres ou de comptes compromis
- Une évaluation de la qualité, de la fiabilité ou de la sécurité d'une entreprise, d'un hébergeur ou d'un fournisseur individuel
- Un contrôle de délivrabilité, de score de spam ou de réputation d'expéditeurs individuels
Aucun e-mail n'a jamais été envoyé, aucune boîte aux lettres ouverte, aucun login tenté, ni aucune connexion HTTP, SMTP ou de port établie vers les domaines scannés eux-mêmes. L'analyse se limite aux enregistrements DNS que l'exploitant du domaine publie de toute manière publiquement.
Un enregistrement DNS manquant ou faible ne signifie pas automatiquement un problème de sécurité réel en pratique, et un enregistrement présent et correctement configuré ne garantit pas une sécurité complète. Ce rapport ne fait aucune déclaration sur une entreprise individuelle. Tous les chiffres sont des agrégats.
9. Méthodologie et limites
| Source des données | Fichier de zone .ch de SWITCH |
| Domaines dans le corpus source | 2'459'127 |
| Évalués côté DNS | 2'324'088 (94,5%) |
| Erreur DNS persistante après 2 cycles complets | 135'039 (5,5%), considérés comme non mesurés, pas comme non protégés |
| Dénominateur des pourcentages SPF/DKIM/DMARC | 1'708'618 domaines avec enregistrement MX, pas l'ensemble des domaines .ch |
| Méthode de scan | Requêtes DNS passives (MX, DS/DNSSEC, NS, TXT/SPF, type RR SPF hérité 99, DMARC, DKIM, BIMI, MTA-STS, TLS-RPT, CAA, TLSA/DANE) |
| Résolveurs utilisés | 5 résolveurs publics (1.1.1.1, 8.8.8.8, 9.9.9.9, 1.0.0.1, 8.8.4.4) |
| Période de scan | Août 2026 |
Source des données: Tous les domaines .ch du fichier de zone .ch de SWITCH. SWITCH gère la zone de domaine .ch de la Suisse.
Méthode de scan: Exclusivement des requêtes DNS passives: MX, DS (DNSSEC), NS, TXT/SPF, l'ancien type de ressource DNS SPF 99, DMARC, DKIM (recherche de sélecteurs propre aux fournisseurs), BIMI, MTA-STS (présence TXT uniquement), TLS-RPT, CAA et TLSA/DANE par hôte MX. Aucune connexion HTTP, SMTP ou de port vers un domaine scanné, aucun login, aucun envoi d'e-mail, aucune inspection de boîte aux lettres. Seuls 5 résolveurs publics ont été interrogés (1.1.1.1, 8.8.8.8, 9.9.9.9, 1.0.0.1, 8.8.4.4), jamais directement les serveurs de noms du domaine concerné.
Traitement des erreurs: Les domaines avec une erreur DNS ont été revérifiés lors du cycle complet suivant. Ce n'est qu'après 2 cycles complets infructueux qu'un domaine est considéré comme durablement défaillant (majoritairement SERVFAIL en raison de serveurs de noms inaccessibles ou mal configurés du côté de l'exploitant du domaine) et exclu des chiffres de résultats DNS.
Limites de l'analyse
- La détection DKIM est une recherche de sélecteurs propre aux fournisseurs (sélecteurs standards connus, entre autres pour Microsoft 365 et Google Workspace, plus une liste de noms de sélecteurs fréquemment observés), pas un contrôle exhaustif. Les noms de sélecteurs individuels et personnalisés ne sont pas détectés. Les chiffres DKIM sont une limite inférieure.
- L'évaluation « clé DKIM faible » se base sur la longueur de la clé encodée en base64 dans l'enregistrement DNS (≤ 1024 bits), une approximation, pas un audit cryptographique de la clé réelle.
- L'analyse SPF n'effectue pas une évaluation récursive complète de l'arbre de résolution selon la RFC 7208; les chaînes imbriquées
include:etredirect=ne sont pas entièrement résolues. - MTA-STS n'a été vérifié que sous forme de présence d'un enregistrement DNS TXT. Le fichier de politique récupéré via HTTPS, qui contient le mode d'application effectif, ne faisait pas partie de ce scan.
- Le rapport mesure la présence et la configuration des enregistrements DNS. Il ne mesure pas la délivrabilité effective des e-mails, ni un incident de phishing ou de fuite de données, ni des boîtes aux lettres compromises.
- Aucun résultat individuel par domaine n'est publié. Tous les chiffres de ce rapport sont des agrégats.
Open source: Le code complet du scanner est disponible publiquement sur GitHub. Le code permet un contrôle méthodologique et une reproduction du scan.
Citation:
https://ki-barometer.ch/fr/rapport-securite-e-mail-suisse/
Données & reproductibilité
| Fichier de zone | Fichier de zone .ch de SWITCH |
| Code du scanner | github.com/peterhadorn/swiss-web-report (Open Source) |
| Période de scan | Août 2026 |
| Domaines dans le corpus source | 2'459'127 |
| Évalués côté DNS | 2'324'088 |
| Données publiques | Résultats agrégés sur cette page |
| Non public | Données brutes au niveau des domaines (protection des données) |
| Questions méthodologiques | |
| Hébergement | Base de données et applications chez UP Network (Suisse). Site web statique via Cloudflare. |
Corrections & contact
Indications sur des erreurs méthodologiques, informations contextuelles manquantes ou propositions de correction: E-mail. Les corrections soumises sont examinées et, si elles sont pertinentes, intégrées dans le rapport.
10. Questions fréquentes
Combien de domaines .ch suisses n'ont pas d'application DMARC effective?
70,1% des 1'708'618 domaines .ch avec enregistrement MX (1'197'112 domaines) n'ont pas d'application DMARC effective: soit l'enregistrement est totalement absent, soit seule la politique de surveillance p=none est en place.
Cela signifie-t-il que ces entreprises ont été piratées?
Non. La mesure indique uniquement quelle règle DNS est publiée. Ce n'est pas un test d'incident de sécurité, de boîte aux lettres compromise ou de phishing.
Quelle est la différence entre p=none, p=quarantine et p=reject?
p=none surveille uniquement et ne bloque rien. p=quarantine déplace typiquement les e-mails non conformes vers le dossier spam. p=reject les rejette au niveau du serveur destinataire. Seuls 13,3% des domaines avec enregistrement MX appliquent p=reject.
Un enregistrement SPF suffit-il à se protéger de l'usurpation d'e-mail?
Non. SPF vérifie seulement si le serveur expéditeur est autorisé, mais ne couvre pas tous les scénarios d'abus. Cette analyse n'effectue pas non plus une évaluation récursive complète selon la RFC 7208.
Comment les domaines ont-ils été scannés?
Exclusivement via des requêtes DNS passives vers cinq résolveurs publics (1.1.1.1, 8.8.8.8, 9.9.9.9, 1.0.0.1, 8.8.4.4). Aucune connexion HTTP, SMTP ou de port vers les domaines eux-mêmes, aucune connexion, aucun envoi d'e-mail, aucune inspection de boîte aux lettres.
Que signifie le taux d'erreur de 5,5%?
135'039 des 2'459'127 domaines .ch ont continué à renvoyer une erreur DNS après deux cycles de scan complets. Ces domaines sont considérés comme non mesurés, pas comme non protégés.
La détection DKIM est-elle exhaustive?
Non. La détection recherche des sélecteurs connus et propres à certains fournisseurs. Les sélecteurs individuels et personnalisés ne sont pas détectés. Le chiffre constitue une limite inférieure.
Que signifie une clé DKIM faible dans ce rapport?
L'évaluation se base sur la longueur de la clé encodée en base64 dans l'enregistrement DNS (inférieure ou égale à 1024 bits), et non sur un audit cryptographique.
La délivrabilité des e-mails a-t-elle été testée?
Non. Aucun e-mail n'a été envoyé et aucune boîte aux lettres n'a été inspectée. Le rapport mesure exclusivement des enregistrements DNS publiquement accessibles.
Comment citer ce rapport?
Hadorn, P. (2026). Schweizer E-Mail-Sicherheitsreport 2026: Eine DNS-basierte Bestandsaufnahme von 2'459'127 .ch-Domains. KI-Barometer.ch.