Le CAC 40 verrouille ses e-mails : 85 % des groupes appliquent DMARC, contre 34 % des grandes villes

Baromètre KrakenShield, octobre 2026 : nous avons observé, de l’extérieur et sans rien forcer, les sites institutionnels des 40 sociétés du CAC 40, avec exactement la même méthode que notre baromètre des 100 plus grandes villes. Le résultat est net : 93 % des sites notés obtiennent A ou A+, aucun ne désactive HSTS et 85 % des domaines appliquent une politique DMARC. Les grands groupes ont fait leurs devoirs. L’écart avec le reste du tissu économique, lui, se creuse.

Ce baromètre ne cherche aucune faille : il relève uniquement ce que voit n’importe quel visiteur, et aucune société n’y est nommée. Comme les 40 entreprises de l’indice sont connues de tous, nous allons plus loin que d’habitude : tout effectif de une ou deux sociétés est masqué, pour qu’aucune ne soit reconnaissable.

1. Un chiffrement sans fausse note

Sur les 39 sites mesurés, tous présentent un certificat valide, aucun n’accepte encore TLS 1.0 ou TLS 1.1, et tous sauf une ou deux sociétés proposent TLS 1.3. Aucun site ne sert sa page en clair sur HTTP : 89,7 % redirigent vers HTTPS, les autres ne répondent pas au robot sur le port HTTP.

Ce que ça veut dire : sur la couche de chiffrement, le CAC 40 est au niveau attendu. Les grandes villes en sont proches (100 % de certificats valides, 93 % en TLS 1.3), mais 4 % d’entre elles acceptent encore des versions retirées.

2. HSTS partout, souvent au maximum

Aucune des 30 pages analysables ne se passe de HSTS. 80 % l’activent pour au moins un an, 73,3 % l’étendent aux sous-domaines et 43,3 % demandent leur inscription dans la liste de préchargement des navigateurs.

Ce que ça veut dire : la première connexion d’un visiteur ne peut pas être détournée vers une version non chiffrée. Côté grandes villes, 39,8 % des sites n’ont toujours pas cet en-tête.

3. L’e-mail : l’écart le plus spectaculaire

61,5 % des domaines sont en DMARC p=reject et 23,1 % en p=quarantine : au total, 84,6 % demandent aux messageries d’écarter les courriels qui usurpent leur nom. 12,8 % restent en mode « surveillance seule » (p=none), et une ou deux sociétés n’ont aucun enregistrement. Le SPF est présent sur 100 % des domaines, terminé par une règle stricte (-all) sur 66,7 %.

Ce que ça veut dire : se faire passer pour un grand groupe par e-mail, depuis son domaine exact, est devenu difficile. Pour les 100 plus grandes villes, c’est l’inverse : 65,7 % des domaines n’appliquent aucune politique DMARC, et seuls 13,1 % sont en mode rejet.

La conséquence : les fraudeurs ne renoncent pas, ils se déplacent. Une fausse facture envoyée « par » un sous-traitant, une fausse demande de changement de RIB « d’un » fournisseur ou un faux avis « de la » mairie passent là où le domaine n’a pas de politique appliquée. Le maillon faible n’est plus le grand groupe, c’est son écosystème.

4. Les protections du navigateur, bien déployées mais pas complètes

80 % des sites déclarent une Content-Security-Policy (contre 31,2 % pour les grandes villes), 83,3 % se protègent contre le clickjacking et 90 % envoient X-Content-Type-Options. Les en-têtes plus récents sont moins répandus : 50 % pour la Referrer-Policy, 30 % pour la Permissions-Policy. Résultat : 20 % seulement réunissent les six protections observées, mais aucun site n’en est totalement dépourvu.

La correction : les deux en-têtes manquants s’ajoutent en quelques lignes, sans risque pour le site.

5. Les cookies, point commun avec les collectivités

53,3 % des pages d’accueil posent au moins un cookie dès la première visite. 20 % en posent au moins un sans l’attribut Secure, et 30 % sans HttpOnly : des proportions comparables à celles des grandes villes (19,4 % sans Secure). Ces cookies viennent souvent d’outils tiers de mesure d’audience ou de consentement. Enfin, 17,9 % des domaines publient un enregistrement CAA, deux fois plus que les villes (8,1 %), mais cela reste une minorité.

6. Une note globale très élevée

Avec notre note simplifiée, 66,7 % des sites notés obtiennent A+, 26,7 % A, une ou deux sociétés B, et aucune C ni F. Pour les grandes villes, la part de A et A+ est de 57,4 %.

Un dernier signe de maturité : 9 sites sur 39 ont répondu à notre robot, qui se déclare comme tel, par une page de filtrage. Les grands groupes placent leurs sites derrière des services de protection qui trient les visiteurs automatisés. Leurs en-têtes n’ont pas été notés, ce qui peut flatter légèrement les chiffres de cette page.

Ce que ça change pour les PME et les ETI

La directive européenne NIS2 demande aux entités concernées de maîtriser la sécurité de leur chaîne d’approvisionnement. Les grands groupes, déjà bien protégés, regardent donc de plus en plus la configuration de leurs fournisseurs et sous-traitants : DMARC, HSTS, certificats et en-têtes font partie des premiers contrôles, parce qu’ils se vérifient de l’extérieur en quelques secondes.

Les réglages qui font la différence dans ce baromètre ne demandent ni budget ni équipe dédiée : quelques enregistrements DNS et quelques en-têtes HTTP. C’est l’écart le plus facile à combler.

Méthodologie Mesure passive réalisée le 11 octobre 2026 sur les sites institutionnels des 40 sociétés du CAC 40 (composition au 9 octobre 2026, vérifiée sur Euronext), avec la même méthode et la même note que notre baromètre des grandes villes. 39 sites mesurés avec succès, 1 échec (connexion HTTPS réinitialisée deux fois). Seuls ont été lus la page d’accueil, ses en-têtes et des enregistrements DNS publics : ni scan de ports, ni test de vulnérabilité, ni formulaire. Les indicateurs d’en-têtes portent sur les 30 pages d’accueil servies normalement (9 sites ont renvoyé une page de filtrage anti-robot). Limites : photographie à une date, site institutionnel seulement (ni sites marchands ni espaces clients), la messagerie peut utiliser un autre domaine que le site, et un en-tête présent ne garantit pas une politique efficace. Aucune société n’est nommée et les effectifs de une ou deux sociétés sont masqués.