Exposition e-mail & DNS des grandes organisations camerounaises
Adoption des protections d'authentification du courrier (SPF, DMARC) et de la signature DNS (DNSSEC), mesurée en sources ouvertes sur les enregistrements DNS publics.
Le baromètre mesure, en sources ouvertes, dans quelle mesure les grandes organisations camerounaises ont déployé les protections qui empêchent qu’on usurpe leur nom pour envoyer des courriels frauduleux, et qui protègent leurs noms de domaine contre la falsification : SPF, DMARC et DNSSEC.
Comprendre les trois protections
Déclare quels serveurs peuvent envoyer du courrier au nom du domaine. Sans SPF, n’importe qui peut prétendre écrire depuis votre organisation. Force selon le qualificateur final : -all (strict) ou ~all protègent ; ?all/+all presque rien.
S’appuie sur SPF pour dire aux messageries quoi faire d’un courrier non authentifié. p=reject ou p=quarantine bloquent réellement l’usurpation ; p=none est purement observatoire — déclaré mais inactif.
Signe cryptographiquement les réponses DNS, empêchant de rediriger silencieusement les visiteurs vers un serveur frauduleux. Un domaine est soit signé, soit non signé.
Pourquoi cela compte
L’usurpation d’adresse e-mail est le point de départ de la plupart des campagnes d’hameçonnage et de fraude au président (BEC). Quand une administration, une banque ou un opérateur ne protège pas son domaine, un attaquant peut envoyer des messages qui semblent provenir d’elle — à ses clients, ses agents, ses partenaires — sans avoir eu accès à ses systèmes. SPF et DMARC ferment cette porte ; DNSSEC ferme l’équivalent côté navigation web.
Constat marquant de cette première mesure : le DMARC est souvent présent mais rarement contraignant (laissé en p=none), et le DNSSEC est quasi inexistant, nul sur tout l’espace .cm observé. La protection existe sur le papier plus souvent qu’elle n’agit.
Méthode
Les enregistrements SPF, DMARC (_dmarc.<domaine>) et DNSSEC sont interrogés via une résolution DNS publique (DNS-over-HTTPS). L’échantillon est réparti en deux groupes : les domaines .cm (institutions, télécoms, médias, universités) et les grandes organisations en .com (banques, assurances, télécoms). Un domaine qui ne résout pas est écarté du calcul ; les taux « strict » (SPF) et « actif » (DMARC) ne comptent que les configurations réellement protectrices. La mesure est versionnée et datée et vise à être répétée. Détail de l’outil sur la page Outil de collecte — DoH.
Périmètre observé (v2026.09)
Échantillon de 30 domaines, délibérément restreint aux grandes organisations et non représentatif de l’ensemble de l’espace .cm :
- .cm — institutions (MINPOSTEL, ANTIC, ART, PRC, SPM, MINFI, MINESUP, DGI, CNPS, MINSANTÉ), télécoms (Camtel, Orange, MTN), médias (CRTV, Cameroon Tribune), universités (Yaoundé I, Douala), autres (Camair-Co, Eneo, PAD).
- .com — banques et finance (Afriland First Bank, BICEC, Ecobank, UBA, BGFIBank, SG Cameroun), assurances (Activa, Chanas, Ascoma), télécoms (MTN Cameroon).
Donnée ouverte, versionnée et datée · le détail domaine par domaine est dans ce fichier · réutilisation libre avec mention Observatoire de Cybersécurité du Cameroun (OBS-CC).