Deux publications tombent le 17 octobre 2026 et ne racontent pas la même histoire. L’Agence nationale de la cohésion des territoires (ANCT) compte 76,4 % des 34 902 communes conformes à son critère sur DMARC. Ce mécanisme empêche d’envoyer un courriel en usurpant un nom de domaine. Le même jour, un relevé indépendant de 1 000 domaines de collectivités trouve 40,5 % de domaines qui publient ce mécanisme. Et 17,9 % seulement demandent réellement le blocage des faux expéditeurs.
Les deux chiffres peuvent être vrais en même temps. Ils ne mesurent pas le même objet. Et c’est là que se trouve le sujet : la règle qui protège le nom d’une mairie appartient souvent à un fournisseur privé, pas à la mairie.
Plan des parties
- Ce que l’État compte
- Ce que le fichier ne dit pas
- Ce que trouve une sonde indépendante
- Pourquoi les deux mesures peuvent avoir raison
- Ce que cela change pour vous
- Ce que je ferais
Ce que l’État compte
L’ANCT publie chaque jour un fichier, le DPNT, qui décrit la présence numérique de 36 268 collectivités : 34 902 communes, 1 253 intercommunalités, 96 départements et 17 régions. Le fichier du 17 octobre 2026 est en ligne sur data.gouv.fr. Il applique le Référentiel de la présence numérique des territoires, version 0.2.2, publiée le 31 août 2026.
Deux usages y sont notés : le site internet et la messagerie. Sur les 34 902 communes, 98,5 % respectent le critère SPF, qui liste les serveurs autorisés à envoyer du courrier pour un domaine. Et 76,4 % respectent le critère DMARC, qui dit au destinataire quoi faire d’un message suspect. Les deux sont classés « Recommandé ». L’enregistrement MX, qui sert seulement à recevoir du courrier, est classé « Essentiel ».
Le référentiel réserve le même mot « Essentiel » à un autre critère. L’adresse de messagerie ne doit pas utiliser un domaine générique, c’est-à-dire un domaine qui ne porte pas le nom de la collectivité. 15 659 communes le respectent, soit 44,9 %. Autrement dit, plus de la moitié des communes échouent à un critère que l’État juge essentiel, alors que le chiffre mis en avant porte sur un critère seulement recommandé.
Ce que le fichier ne dit pas
J’ai repris le fichier pour regarder une autre question : quel domaine porte l’adresse de la mairie. 34 520 communes déclarent une adresse. 9 060 utilisent wanadoo.fr, 7 374 orange.fr et 1 068 gmail.com. Ces trois domaines couvrent 17 502 communes, soit 50,7 % du total.
La conséquence est mécanique. Une commune qui écrit depuis wanadoo.fr ne peut pas modifier la règle publiée sur wanadoo.fr. Elle ne possède ni le domaine, ni la règle qui protège son nom. Sur les 26 674 communes déclarées conformes au critère DMARC, il n’existe que 7 979 domaines distincts. Les 10 premiers couvrent 18 250 communes, soit 68,4 % des communes conformes.
J’ai interrogé le DNS le 17 octobre 2026. Orange publie une quarantaine sur orange.fr : le message suspect est classé, pas refusé. Wanadoo fait de même. Laposte publie un rejet. Gmail publie une politique sans contrainte, qui sert à recevoir des rapports et ne bloque rien. Parmi les 18 250 communes qui dépendent des 10 premiers domaines, 1 237 (6,8 %) s’appuient sur une politique qui ne bloque rien. Elles sont 326 (1,8 %) à s’appuyer sur un rejet, et 16 687 (91,4 %) sur une quarantaine.
Ce que trouve une sonde indépendante
Le même jour, un éditeur indépendant, z-ax, a publié cinq relevés sur 1 000 domaines de collectivités : DMARC, SPF, MTA-STS, DNSSEC et IPv6. La lecture se fait uniquement par le DNS, sans se connecter aux sites. Sur 1 000 domaines, 991 ont pu être mesurés. 401 publient un DMARC, soit 40,5 % : 248 en surveillance seule, 93 en quarantaine et 60 en rejet.
Le reste du relevé va dans le même sens. Sur les 855 domaines qui reçoivent du courrier, 457 n’ont aucun DMARC, soit 53,5 %. Et 153 seulement, soit 17,9 %, demandent le blocage. Aucun des 855 ne publie de politique MTA-STS, qui empêche de retirer le chiffrement en chemin. 209 domaines sur 984 sont validés par DNSSEC, le mécanisme qui empêche de falsifier une réponse DNS. 199 font répondre leur site en IPv6.
Pourquoi les deux mesures peuvent avoir raison
Les deux chiffres ne se contredisent pas sur le terrain, ils se contredisent sur l’objet. L’ANCT mesure le domaine de l’adresse officielle, celui que les habitants utilisent pour écrire à la mairie. La sonde mesure le domaine du site internet. Ce ne sont souvent pas les mêmes : sur l’échantillon, 145 domaines sur 1 000 ne reçoivent aucun courrier.
J’ai voulu vérifier que la conformité affichée par l’ANCT n’était pas un chiffre de façade. J’ai tiré 40 communes déclarées conformes, puis interrogé le DNS de leur adresse. Ces 40 communes ne correspondent qu’à 13 domaines distincts, tant la mutualisation est forte. Les 13 domaines publient bien un DMARC sur le domaine exact. La conformité est réelle. Elle est simplement partagée.
Il faut dire les limites. La méthode de constitution de l’échantillon de 1 000 domaines n’est pas publiée : on ne peut pas en déduire une moyenne nationale. Le relevé porte sur une seule journée. Et une politique en surveillance seule est une étape normale avant le rejet, recommandée pour éviter de bloquer des courriels légitimes. Une quarantaine filtre déjà beaucoup de faux messages.
L’objection la plus forte est ailleurs. Une politique absente n’est pas une usurpation prouvée. Aucun des fichiers ne dit qu’une mairie a été victime. Ils disent qu’elle n’a pas publié la règle qui permettrait de la défendre. C’est une faille ouverte, pas un cambriolage.
Ce que cela change pour vous
La règle pratique tient en un réflexe : regardez ce qui suit l’arobase. Si l’adresse se termine par le domaine de votre commune, la mairie peut publier une règle qui protège ce nom, et vous pouvez vérifier l’expéditeur. Si elle se termine par wanadoo.fr, orange.fr ou gmail.com, la règle appartient au fournisseur. Personne ne peut alors certifier que le message vient bien du secrétariat.
La technique ne remplace pas la vigilance. Un courriel qui demande un changement de coordonnées bancaires se vérifie par un appel au numéro connu de la mairie, jamais par une réponse au message. Le guide public sur l’hameçonnage donne la même consigne : rappeler l’organisme, ne pas cliquer, ne pas répondre. Ce que vous pouvez exiger de votre commune est simple : un domaine à son nom et une politique qui bloque.
Ce que je ferais
Je changerais deux mots dans le référentiel. SPF et DMARC y sont « Recommandé ». Ils devraient être « Essentiel », au même rang que l’enregistrement MX. Un domaine sans DMARC en rejet reste un nom qu’on peut emprunter.
Je publierais aussi un second chiffre, à côté du taux de conformité : le nombre de communes qui possèdent leur propre domaine et qui publient un rejet. Le taux actuel mesure honnêtement ce qu’il mesure, mais il compte la politique d’Orange comme une protection communale. Un indicateur qui attribue à la commune le mérite du fournisseur ne dit pas qui tient la règle.
Je n’accuse personne. Une commune de 400 habitants n’a pas d’administrateur système, et la mutualisation départementale est une réponse légitime. Mon jugement porte sur la règle, pas sur les personnes. Le point n’est pas de savoir si le maire est coupable. Il est de savoir qui, de la mairie ou de l’opérateur, peut décider demain que le nom de la commune ne s’emprunte plus. C’est là que la souveraineté numérique cesse d’être un slogan : elle tient à une case de formulaire, chez un acteur privé.
Il reste une question que les fichiers ne tranchent pas. Une conformité qui appartient au fournisseur protège-t-elle encore la commune le jour où elle change de fournisseur, ou le jour où le fournisseur change sa règle ?
Et vous, si vous recevez un courriel au nom de votre mairie, savez-vous ce qui suit l’arobase ?
