Après une fuite de données, les escrocs écrivent à vos clients en se faisant passer pour vous, de trois façons : avec votre domaine exact dans l'adresse d'expéditeur, avec un domaine qui ressemble au vôtre, ou avec votre nom affiché devant une adresse quelconque. Seule la première est bloquée techniquement, par un enregistrement DMARC en p=reject. Les deux autres demandent de la surveillance et une information claire de vos clients. Commencez par vérifier que votre domaine ne laisse pas passer n'importe qui : c'est la seule porte que vous pouvez fermer vous-même en une journée.
En octobre 2026, la Région Hauts-de-France a mis en garde ses usagers contre les messages frauduleux envoyés en son nom après la fuite chez deux de ses prestataires. C'est le réflexe à avoir : une fuite fournit des noms, des adresses et un prétexte crédible.
Ce que montrent les faux mails ANTAI, Assurance Maladie et Amazon
Les grandes vagues de phishing visent des organisations que tout le monde connaît. Elles montrent bien comment les escrocs contournent un domaine protégé.
- Fausse amende ANTAI (octobre 2025) : un courriel réclame une amende de 35 euros. Il est envoyé depuis un domaine allemand sans rapport, probablement piraté, et écrit « ANTAl » avec un L minuscule à la place du I. Le vrai site est
antai.gouv.fr.
- Fausse Assurance Maladie (avril 2026) : un message annonce une carte « biométrique » à remplacer. L'expéditeur affiché est « Vitalis », l'adresse réelle
info@hukumeonline.com. Un expert du forum ameli.fr a confirmé le phishing.
- Faux renouvellement Amazon Prime : des messages annoncent un débit (380 euros dans un cas relevé en 2024, d'autres montants en 2026) et proposent d'« annuler » via un lien. Les adresses d'envoi n'appartiennent pas à Amazon.
Aucun de ces messages n'utilise le vrai domaine de l'organisation. Une explication probable : ces domaines sont protégés. Au 5 novembre 2026, antai.gouv.fr et ameli.fr publient un DMARC en p=reject, et amazon.fr renvoie vers la politique d'Amazon en p=quarantine. Les escrocs se rabattent donc sur le nom affiché et les domaines tiers. Un domaine sans DMARC, à l'inverse, leur offre la solution la plus efficace.
| Technique | Exemple | Bloquée par DMARC p=reject ? | Parade |
|---|
| Usurpation exacte du domaine | facturation@votre-domaine.fr | Oui | SPF, DKIM et DMARC en p=reject |
| Domaine cousin | facturation@votre-domaine-client.fr, votre-dornaine.fr | Non | Repérage, dépôt défensif, procédure de récupération |
| Nom d'affichage trompeur | « Votre Entreprise » <contact@domaine-quelconque.com> | Non | Information des clients, filtres de la messagerie du destinataire |
Le domaine cousin pose un problème particulier : l'escroc possède réellement ce domaine. Il peut donc configurer SPF, DKIM et DMARC dessus, et ses messages passent tous les contrôles. Nous détaillons comment les repérer et les faire fermer dans notre guide sur les domaines cousins.
SPF, DKIM, DMARC et BIMI, expliqués simplement
SPF : la liste des serveurs autorisés
SPF est un enregistrement TXT qui liste les serveurs autorisés à envoyer des emails pour votre domaine :
votre-domaine.fr. TXT "v=spf1 include:_spf.google.com include:spf.mailjet.com -all"
Ici, Google Workspace et Mailjet sont autorisés. Le -all final indique que tout autre serveur est refusé. SPF a une limite importante : il vérifie l'adresse technique de retour (le « Return-Path »), pas l'adresse que le destinataire voit dans le champ « De ». Seul, il ne protège donc pas contre l'usurpation visible.
DKIM : la signature
DKIM ajoute une signature cryptographique à chaque email. La clé publique est publiée dans vos DNS, sous un « sélecteur » :
dig +short TXT google._domainkey.votre-domaine.fr
Le destinataire vérifie que le message a bien été signé par le domaine annoncé et qu'il n'a pas été modifié en route.
DMARC : la règle et le rapport
DMARC relie les deux. Il exige que le domaine affiché dans le champ « De » corresponde au domaine validé par SPF ou par DKIM (c'est l'« alignement »), et il dit au destinataire quoi faire en cas d'échec :
_dmarc.votre-domaine.fr. TXT "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@votre-domaine.fr"
p=none : ne rien faire, seulement envoyer des rapports.p=quarantine : placer le message en spam.p=reject : refuser le message.sp= : la règle appliquée aux sous-domaines (compta.votre-domaine.fr, par exemple).rua= : l'adresse qui reçoit les rapports quotidiens des messageries.
BIMI : le logo dans la boîte de réception
BIMI permet d'afficher votre logo à côté de vos emails dans certaines messageries. Il exige un DMARC en p=quarantine ou p=reject, un logo au format SVG spécifique et, pour Gmail, un certificat de marque (VMC ou CMC) payant. BIMI ne bloque rien. C'est un signal de confiance qui ne fonctionne qu'une fois DMARC en place.
Passer en p=reject sans bloquer vos propres emails
Le risque d'un passage brutal en p=reject est de refuser vos propres factures, envoyées par un outil oublié. Procédez par étapes :
- Publiez un DMARC en
p=none avec une adresse rua, si vous n'en avez pas. Le générateur DMARC produit l'enregistrement.
- Lisez les rapports pendant deux à quatre semaines. Ils listent les serveurs qui envoient au nom de votre domaine, légitimes ou non. Notre guide pour lire un rapport DMARC explique comment les interpréter.
- Corrigez chaque source légitime : ajoutez-la au SPF ou, mieux, activez DKIM avec votre domaine chez l'outil concerné.
- Passez en
p=quarantine, puis vérifiez que rien de légitime ne tombe en spam.
- Passez en
p=reject, avec sp=reject pour couvrir les sous-domaines.
Après une fuite, vous n'avez pas toujours un mois devant vous. Si vos envois se limitent à une messagerie (Google Workspace, Microsoft 365, OVH) correctement configurée avec DKIM, le passage en p=quarantine peut être immédiat. Vérifiez l'état actuel avec l'outil de vérification de la sécurité email avant de changer quoi que ce soit.
Ne pas oublier les domaines qui n'envoient rien
Vos domaines secondaires (ancienne marque, autre extension, domaine de campagne) peuvent aussi être usurpés. S'ils n'envoient aucun email, dites-le explicitement :
autre-domaine.fr. MX 0 .
autre-domaine.fr. TXT "v=spf1 -all"
_dmarc.autre-domaine.fr. TXT "v=DMARC1; p=reject; sp=reject"
Le MX « nul » (0 .) indique que le domaine ne reçoit pas d'email, le SPF -all qu'aucun serveur n'est autorisé à envoyer, et le DMARC demande de tout refuser.
Contre le nom d'affichage : prévenir vos clients
Aucun enregistrement DNS n'empêche un escroc d'écrire « Votre Entreprise » devant une adresse Gmail. La seule parade est d'apprendre à vos clients à regarder l'adresse réelle, et de leur dire ce que vous ne demanderez jamais : mot de passe, code reçu par SMS, coordonnées bancaires, changement de RIB par email.
Si un client vous transfère un faux message, demandez-lui l'email complet avec ses en-têtes. La ligne Authentication-Results indique si SPF, DKIM et DMARC ont réussi, et pour quel domaine. Si c'est votre domaine qui passe, le problème est chez vous : un compte compromis ou un outil mal configuré. Le cas d'un message reçu « de vous-même » est traité dans notre article « N'importe qui peut écrire en ton nom ».
Ce que Domains Defender surveille
Domains Defender ne peut pas empêcher l'envoi de faux emails depuis des domaines tiers et ne lit pas vos rapports DMARC. Il surveille la configuration email de votre propre domaine (SPF, DKIM, DMARC) et vous alerte si elle se dégrade, par exemple si votre politique DMARC repasse en p=none ou si votre SPF est modifié. Pour vérifier votre domaine gratuitement, lancez un audit complet.
Questions fréquentes
Comment empêcher qu'on envoie des mails avec mon adresse ?
Publiez un enregistrement DMARC en p=reject, après avoir configuré SPF et DKIM pour tous vos outils d'envoi. Les messageries refuseront alors les emails qui utilisent votre domaine sans authentification valide.
DMARC protège-t-il contre les domaines qui ressemblent au mien ?
Non. DMARC protège uniquement votre domaine exact. Un domaine cousin appartient à l'escroc, qui peut lui-même y configurer SPF, DKIM et DMARC. Il faut le repérer et le faire suspendre.
Combien de temps pour passer de p=none à p=reject ?
Comptez souvent quelques semaines, le temps de lire les rapports et de corriger chaque outil d'envoi. Une entreprise qui n'envoie que depuis une messagerie bien configurée peut aller plus vite.
Faut-il BIMI pour être protégé ?
Non. BIMI affiche votre logo mais ne bloque aucun message. La protection vient de DMARC en p=quarantine ou p=reject, qui est d'ailleurs un prérequis de BIMI.