Recherche
Au nom de combien d'hôtels flamands peut-on envoyer des e-mails ?
Mesuré le 28 septembre 2026. Prochaine édition : janvier 2027.
87,0 %
84,4 à 89,3 %
Sur les 732 domaines de messagerie d'hôtels que nous avons pu vérifier, 637 ne donnent aux serveurs destinataires aucune instruction pour bloquer un e-mail falsifié qui utilise le domaine exact de l'hôtel. Les 732 domaines couvrent 830 des 867 hôtels actifs du registre de Toerisme Vlaanderen.
Les fourchettes indiquées avec les chiffres principaux sont des intervalles de Wilson à 95 %. Cette édition compte la quasi-totalité des hôtels actifs du registre, et non un échantillon ; une fourchette n'est donc pas une marge d'erreur au sens habituel. Elle montre de combien un chiffre de cet ordre pourrait varier entre deux éditions pour des raisons sans rapport avec un changement réel.
Vous avez plusieurs hôtels ? Demandez un rapport privé gratuit.Pour les journalistes et les organisations du secteur
Ce que signifie « vulnérable » dans cet indice
Lorsqu'un serveur de messagerie reçoit un message qui prétend venir de reservations@nomdelhotel.be, il peut vérifier un réglage DNS public appelé DMARC pour savoir ce que le propriétaire de ce domaine souhaite qu'il advienne des e-mails qui ne passent pas l'authentification. Le propriétaire peut demander un simple rapport sans autre mesure (p=none), demander que le message soit mis de côté comme suspect (p=quarantine) ou qu'il soit purement et simplement refusé (p=reject).
Nous considérons un domaine comme vulnérable lorsqu'il n'a aucun enregistrement DMARC valide, lorsque cet enregistrement est réglé sur p=none ou lorsqu'un réglage plus strict est marqué comme test avec la balise t=y. Sans enregistrement ou avec p=none, le propriétaire du domaine n'a pas demandé aux serveurs destinataires de bloquer ou de mettre de côté un e-mail falsifié qui utilise le domaine exact de l'hôtel. Aucun domaine de cette édition n'utilise t=y ; ce troisième cas ne modifie donc aucun chiffre de cette page.
Cette définition ne tient compte que du réglage DMARC dans le DNS. Les autres façons de détourner le nom d'un hôtel sont énumérées plus bas et ne sont pas comptées.
L'échelle DMARC
Part des 732 domaines d'hôtels analysés selon le réglage DMARC, avec l'intervalle à 95 %. « Aucun enregistrement DMARC » comprend 2 domaines qui publient deux enregistrements DMARC à la fois ; les serveurs destinataires doivent alors ignorer ces enregistrements.
Sur les 251 domaines réglés sur p=none, 157 (62,5 %) n'indiquent en outre aucune adresse pour les rapports. Ces enregistrements ne demandent aux serveurs destinataires ni de bloquer quoi que ce soit, ni d'envoyer des rapports au propriétaire.
| L'échelle DMARC | Domaines | Part | Intervalle à 95 % |
|---|---|---|---|
| Aucun enregistrement DMARC | 386 | 52,7 % | 49,1 à 56,3 % |
| p=none (rapport uniquement) | 251 | 34,3 % | 30,9 à 37,8 % |
| p=quarantine | 53 | 7,2 % | 5,6 à 9,3 % |
| p=reject | 42 | 5,7 % | 4,3 à 7,7 % |
SPF seul ne protège pas l'adresse « De »
Sur les 732 domaines, 400 (54,6 %) terminent leur enregistrement SPF par « -all », le réglage strict qui fait échouer les e-mails envoyés depuis un serveur que le propriétaire n'a pas déclaré. Sur ces 400, 330 n'ont aucune politique DMARC demandant aux serveurs destinataires de bloquer ou de mettre de côté les e-mails qui échouent.
SPF vérifie une adresse d'envoi technique cachée, et non la ligne « De » que le client voit dans sa boîte de réception. Un enregistrement SPF strict n'empêche donc pas à lui seul un e-mail falsifié qui affiche le domaine exact de l'hôtel dans la ligne « De ». DMARC est le réglage qui relie SPF et DKIM à cette adresse « De » et qui indique aux serveurs destinataires quoi faire lorsque le contrôle échoue.
Presque tous les domaines analysés (724 sur 732) ont un serveur de messagerie configuré (enregistrement MX). Un domaine sans serveur de messagerie peut malgré tout être falsifié dans la ligne « De » d'un e-mail, même s'il ne reçoit lui-même jamais de courrier.
Selon la taille de l'hôtel
Ce tableau porte sur les 703 domaines utilisés par un seul hôtel ; les domaines partagés par deux hôtels ou plus ont leur propre ligne. Les petits hôtels sont plus exposés. Les grands hôtels ont plus souvent un enregistrement DMARC, mais le laissent aussi plus souvent sur p=none : 40,9 % des domaines des hôtels de 50 chambres et plus, contre 29,4 % pour les hôtels de 1 à 9 chambres.
| Chambres | Domaines | Vulnérables | Aucun enregistrement DMARC | Protégés |
|---|---|---|---|---|
| 1 à 9 chambres | 180 | 91,1 % (86,0 à 94,5 %) | 61,7 % | 8,9 % |
| 10 à 49 chambres | 391 | 88,2 % (84,7 à 91,1 %) | 56,0 % | 11,8 % |
| 50 chambres et plus | 132 | 77,3 % (69,4 à 83,6 %) | 36,4 % | 22,7 % |
| Domaines de groupes hôteliers (partagés par 2 hôtels ou plus) | 29 (127 hôtels) | 89,7 % (73,6 à 96,4 %) | 27,6 % | 10,3 % |
Le chiffre principal et l'échelle DMARC comptent une seule fois un domaine partagé par plusieurs hôtels, car un seul enregistrement DMARC s'applique à tous les hôtels concernés. Si l'on compte chaque hôtel séparément, on obtient 87,5 % d'hôtels vulnérables (726 sur 830), à un demi-point du chiffre calculé par domaine. Le plus grand domaine partagé couvre 4,9 % des 830 hôtels ; le réglage d'un seul groupe ne suffit donc pas à déterminer le résultat.
Les domaines partagés par des groupes hôteliers ne sont pas mieux protégés : 26 sur 29 sont vulnérables (89,7 %), contre 87,0 % pour l'ensemble des 732 domaines.
Par province
Ce tableau porte sur les mêmes 703 domaines utilisés par un seul hôtel. Aucune province ne se démarque : les intervalles des cinq provinces se chevauchent, les différences restent donc dans les limites de ce que le hasard pourrait produire, et cette édition ne permet de désigner de manière défendable ni une « meilleure » ni une « pire » province.
| Province | Domaines | Vulnérables | Aucun enregistrement DMARC | Protégés |
|---|---|---|---|---|
| Anvers | 118 | 82,2 % (74,3 à 88,1 %) | 44,1 % | 17,8 % |
| Limbourg | 97 | 91,8 % (84,6 à 95,8 %) | 53,6 % | 8,2 % |
| Flandre-Orientale | 93 | 91,4 % (83,9 à 95,6 %) | 52,7 % | 8,6 % |
| Brabant flamand | 70 | 84,3 % (74,0 à 91,0 %) | 52,9 % | 15,7 % |
| Flandre-Occidentale | 325 | 86,5 % (82,3 à 89,8 %) | 57,8 % | 13,5 % |
Ce que cet indice ne mesure pas
Cet indice ne lit que des enregistrements DNS publics, à une seule date. Il ne dit rien sur :
- DKIM, le troisième réglage d'authentification des e-mails. Ses clés se trouvent dans le DNS sous des noms (sélecteurs) qu'il est impossible de lister de l'extérieur ; DKIM n'a donc pas été vérifié.
- Les domaines similaires, comme un trait d'union en plus ou une lettre remplacée. DMARC ne couvre jamais que le domaine exact sur lequel il est publié ; un domaine similaire demande une vérification à part.
- Les boîtes de messagerie piratées. Un message envoyé depuis une vraie boîte dont les accès ont été volés passe SPF, DKIM et DMARC, car il provient bel et bien du vrai domaine.
- Ce que chaque serveur destinataire fait réellement d'un message falsifié. Beaucoup de fournisseurs appliquent en plus leur propre filtrage anti-spam : un domaine « vulnérable » ne signifie donc pas que chaque e-mail falsifié atteint la boîte de réception d'un client, mais que le propriétaire du domaine n'a pas demandé aux serveurs destinataires de bloquer ces e-mails.
- Les astuces sur le nom d'affichage, comme « Réservations Hôtel » affiché au-dessus d'une adresse de messagerie gratuite sans rapport avec l'hôtel. Aucun réglage DNS n'empêche cela ; seule la lecture de l'adresse réelle permet de le repérer.
Comparaison avec d'autres chiffres publiés
D'autres chiffres DMARC publiés reposent sur des populations et des méthodes différentes ; aucun n'est donc directement comparable à cet indice. Ils figurent ici uniquement à titre de contexte, chacun avec sa propre source.
Un hébergeur belge (étude d'un fournisseur commercial : Nomeo, relayée par Emerce le 2 septembre 2024) a constaté que, sur plus de 450 000 domaines .be configurés pour le courrier, environ 23 % avaient un enregistrement DMARC, et que 73 % de ceux-ci étaient réglés sur p=none, 16 % sur p=quarantine et 9 % sur p=reject. Cela place environ 6 % de tous les domaines de messagerie .be sur p=quarantine ou p=reject en 2024, contre 13,0 % des domaines d'hôtels mesurés ici en 2026. Les populations et les années diffèrent ; cet écart ne montre donc pas que les hôtels font mieux.
Un rapport publié en 2026 sur le voyage et l'hôtellerie (étude d'un fournisseur commercial : Valimail, « 2026 State of DMARC Report: Travel and Hospitality ») place près de la moitié des domaines qu'il couvre sur un réglage contraignant. Valimail ne publie pas la taille de son échantillon, et une étude de ce type repose généralement sur les domaines de grandes marques plutôt que sur ceux de petits hôtels indépendants ; la comparaison ne porte donc pas sur des populations équivalentes. Nous n'avons trouvé aucun chiffre officiel belge pour l'hôtellerie ou l'horeca.
Ce qu'un propriétaire d'hôtel peut faire
Votre hébergeur ou votre prestataire informatique peut effectuer chacune de ces étapes pour vous.
- 1Vérifiez votre propre domaine. Le contrôle lit les mêmes enregistrements DNS publics et ne conserve rien.
- 2S'il n'y a pas encore d'enregistrement DMARC, demandez à votre hébergeur d'en publier un réglé sur p=none avec une adresse de réception des rapports, et lisez pendant quelques semaines les rapports que les serveurs destinataires envoient à cette adresse avant de modifier quoi que ce soit d'autre.
- 3Une fois que vos propres e-mails réussissent systématiquement le contrôle, passez le réglage à p=quarantine, puis à p=reject. Un plan en quatre semaines, étape par étape
- 4Découvrez le trajet d'un e-mail falsifié et l'endroit où DMARC permet à un serveur destinataire de l'arrêter. L'explication étape par étape se trouve sur la même page de contrôle.
- 5DMARC ne protège que votre domaine exact. Vérifiez aussi si un domaine qui ressemble simplement au vôtre est déjà enregistré. Contrôle gratuit des domaines similaires
Rapport privé gratuit pour les groupes hôteliers
Sur les 29 domaines de messagerie utilisés chacun par plusieurs hôtels, soit 127 hôtels au total, 26 ne donnent aucune instruction de bloquer un e-mail falsifié. Vous gérez plusieurs hôtels ou domaines ? Nous vérifions chacun de vos domaines et vous envoyons un rapport par domaine : le réglage actuel et ce que votre hébergeur ou votre prestataire informatique doit modifier.
- Gratuit et sans engagement.
- Nous envoyons le rapport uniquement à une adresse e-mail appartenant à l'un des domaines que vous indiquez.
- Nous lisons uniquement des données DNS publiques, comme pour l'indice. Vos résultats ne figurent jamais sur ce site ni dans l'indice.
- Vous recevez le rapport dans les cinq jours ouvrables, en français, en néerlandais ou en anglais.
Un seul hôtel et un seul domaine ? Faites tout de suite le contrôle gratuit.
Méthode et couverture
Population : tous les hôtels ayant le statut Erkend (reconnu) ou Aangemeld (enregistré) dans le registre de Toerisme Vlaanderen au 28 septembre 2026, soit 867 hôtels actifs. Pour chaque hôtel, nous avons retenu le domaine de son adresse e-mail publiée ; lorsque cette adresse se trouvait sur un service partagé comme Gmail ou Telenet, nous avons utilisé à la place le domaine du propre site web de l'hôtel. Seule la partie « domaine » d'une adresse a été lue ; aucun nom de boîte de messagerie, numéro de téléphone ou nom de personne n'a été collecté ni conservé.
Pour 26 hôtels, il n'y avait aucun domaine propre à vérifier. Pour 11 autres hôtels, le domaine n'existait pas, était mal orthographié dans le registre ou n'a donné aucune réponse exploitable du DNS public après deux tentatives. Il reste donc 830 hôtels (96 % du registre), répartis sur 732 domaines analysables.
Un domaine partagé par plusieurs hôtels, comme celui d'un groupe hôtelier, n'est compté qu'une fois : un seul enregistrement DMARC régit tous les hôtels concernés. Nous avons consulté les enregistrements SPF, DMARC et MX publics de chaque domaine via des résolveurs DNS publics, le 28 septembre 2026. Aucun serveur de messagerie ni site web d'hôtel n'a été contacté ; seul le DNS public a été lu. Les enregistrements ont été interprétés selon la RFC 9989, la norme DMARC actuelle.
Il s'agit d'un dénombrement portant sur la quasi-totalité des hôtels actifs du registre, et non d'un échantillon tiré de celui-ci. Nous ne publions pas de résultats par hôtel ni par domaine, et nous ne classons ni les hôtels, ni les chaînes, ni les provinces les uns par rapport aux autres.
Source : Toerisme Vlaanderen. Données du registre réutilisées sous la Modellicentie Gratis Hergebruik v1.0 (licence flamande de réutilisation gratuite).
Nous répétons cette mesure chaque trimestre, la première semaine de janvier, d'avril, de juillet et d'octobre, avec la même méthode. Si la méthode change un jour, ce changement sera indiqué sur cette page. Prochaine édition : janvier 2027.
Pour les journalistes et les organisations du secteur
Vous pouvez reprendre les chiffres et les graphiques de cette page en citant la source. Vous trouverez ci-dessous l'essentiel en une phrase, la mention de la source et les téléchargements.
- L'essentiel en une phrase
- Le 28 septembre 2026, 637 des 732 domaines de messagerie d'hôtels flamands (87,0 %) ne donnaient aux serveurs destinataires aucune instruction de bloquer un e-mail falsifié utilisant le domaine exact de l'hôtel. Pour les domaines utilisés par plusieurs hôtels, c'est le cas de 26 sur 29.
- Comment citer cette étude
- Fluxive, « Au nom de combien d'hôtels flamands peut-on envoyer des e-mails ? », édition du 28 septembre 2026, https://fluxive.be/fr/etudes/e-mail-hotels/
- Téléchargements
- Questions sur la méthode ou demande d'entretien
- Aman Yadav, fondateur de Fluxive : aman@fluxive.be ou +32 472 92 57 41. Entretiens en anglais ; par écrit, également en français et en néerlandais.
Ce que nous ne partageons pas : les noms des hôtels, les domaines ou les résultats par hôtel, même sur demande.
La prochaine édition paraîtra en janvier 2027. Vous souhaitez la recevoir dès sa parution ? Écrivez à aman@fluxive.be.