Defaults.Exposed › Rapports
Le score d'exposition des domaines : la plupart n'ont qu'une protection de base sur cinq (2026)
Publié 2026-06-29
Chiffres au 2026-06-29 · méthodologie v7. Données de recensement agrégées sur 261 millions de domaines évalués. Le score d’exposition compte combien des cinq protections essentielles un domaine a mises en place : SPF, une politique DMARC appliquée, DNSSEC, HTTPS et HSTS (0 = aucune, 5 = toutes). Voir comment nous évaluons.
Choisissez cinq protections de base, notez chaque domaine d’internet sur cinq, et le résultat typique est un — peut-être deux. Sur 261 millions de domaines, 8,8% n’en ont aucune des cinq, la majorité se concentre sur une ou deux, et seulement 0,09% les ont toutes les cinq. La courbe d’exposition n’est pas une cloche avec un centre sain — elle s’entasse tout en bas.
La courbe d’exposition
Nombre des cinq protections essentielles (SPF · DMARC appliqué · DNSSEC · HTTPS · HSTS) qu’un domaine a mises en place. Au 2026-06-29 :
| Protections en place | Part des domaines | |
|---|---|---|
| 0 — entièrement exposé | 8,8% | 23 105 485 domaines |
| 1 | 37,2% | |
| 2 | 39,7% | |
| 3 | 12,0% | |
| 4 | 2,1% | |
| 5 — entièrement verrouillé | 0,09% | 247 054 domaines |
Deux chiffres racontent toute l’histoire : 8,8% obtiennent zéro — aucune authentification de courriel, aucun chiffrement, rien — et seulement 0,09% font tout correctement. Le résultat le plus courant est une ou deux protections, presque toujours HTTPS (désormais répandu) plus, au mieux, un SPF non appliqué. Les contrôles qui arrêtent réellement les attaques — DMARC appliqué, DNSSEC, HSTS — sont là où presque tout le monde est en deçà.
Pourquoi la courbe est si basse
C’est la même cause profonde à chaque couche : ces protections sont désactivées par défaut et doivent être activées délibérément. HTTPS a grimpé parce que les hébergeurs et les CDN ont commencé à l’activer automatiquement — c’est pourquoi c’est la seule protection que la plupart des domaines possèdent. Les quatre autres exigent toujours qu’un propriétaire sache qu’elles existent et agisse :
- HTTPS est répandu parce qu’il est devenu une valeur par défaut.
- SPF est à moitié adopté mais généralement trop faible pour compter sans DMARC.
- DMARC appliqué, DNSSEC et HSTS exigent tous une démarche délibérée que presque personne n’entreprend — c’est pourquoi le score plafonne à un ou deux.
Rien de tout cela n’est coûteux. L’écart entre un 1 et un 5, ce sont quelques changements de configuration, tous gratuits. L’obstacle, c’est la prise de conscience, pas le coût.
Où vous situez-vous sur la courbe ?
La plupart des propriétaires présument être un 3 ou un 4 et sont surpris de découvrir qu’ils sont un 1 — un site HTTPS dont n’importe qui peut usurper le courriel. La seule façon de connaître votre score est de le vérifier. Progresser sur la courbe est le travail de sécurité le plus rentable que la plupart des petites entreprises puissent faire, et il est gratuit.
Foire aux questions
Qu’est-ce qu’un bon socle de sécurité de domaine ? Avoir les cinq : SPF, DMARC appliqué, DNSSEC, HTTPS et HSTS — le « 5 sur 5 » que seuls 0,09% des domaines atteignent. Un objectif réaliste à court terme pour la plupart des entreprises est une authentification de courriel appliquée (SPF + DMARC) plus un HTTPS valide.
Que signifie « entièrement exposé » ? Un domaine sans aucune des cinq protections — aucune authentification de courriel, aucun chiffrement, aucun durcissement DNS ou de transport. 8,8% des domaines sont dans cet état.
Pourquoi la plupart des domaines n’ont-ils qu’une ou deux protections ? Généralement HTTPS (désormais une valeur par défaut courante) et tout au plus un SPF non appliqué. Les protections qui exigent une démarche manuelle délibérée — DMARC appliqué, DNSSEC, HSTS — sont ignorées par la grande majorité.
Comment améliorer mon score ? Appliquez DMARC, assurez un HTTPS valide, ajoutez HSTS et envisagez DNSSEC. Ce sont tous des changements de configuration gratuits. Vérifiez votre domaine pour voir lesquels vous manquent.
Découvrez votre score d’exposition
Découvrez combien des cinq vous avez — et exactement comment combler les lacunes — en toute confidentialité et gratuitement.
Vérifiez votre domaine → · Quelqu’un peut-il usurper votre domaine ? → · The State of Domain Security 2026 → · Données agrégées uniquement. Données stockées et traitées dans l’UE.