Guide · Sécurité de la messagerie
Un e-mail qui réclame un virement en urgence, un fournisseur qui annonce un nouveau RIB, une facture envoyée par l’entreprise qui finit en indésirables chez un client : la messagerie est souvent la première porte d’entrée des incidents. Cette page s’adresse au dirigeant, à l’office manager ou au responsable informatique qui veut savoir ce que recouvre la protection des boîtes e-mail, à quel moment s’en occuper et quoi vérifier avant de choisir un prestataire.
Sommaire
La sécurité de la messagerie, c’est quoi ?
La sécurité de la messagerie regroupe les mesures qui protègent les boîtes e-mail contre trois risques : recevoir un message piégé, voir son nom de domaine utilisé par un tiers pour envoyer de faux messages, ou perdre le contrôle d’un compte. Elle ne se réduit pas à un filtre. Elle combine des réglages côté domaine, des paramètres sur les comptes et une façon claire de traiter les messages suspects.
Filtrer les messages reçus
Le filtrage analyse les liens, les pièces jointes et l’expéditeur de chaque message entrant. Les messages douteux sont mis en quarantaine, ou accompagnés d’un avertissement lorsqu’ils viennent de l’extérieur. Ce tri réduit fortement le volume de messages piégés, mais il ne voit pas tout : un message bien rédigé, envoyé depuis une adresse plausible, peut passer.
Authentifier le domaine
SPF, DKIM et DMARC permettent aux serveurs destinataires de vérifier qu’un message se réclamant du domaine de l’entreprise vient bien d’un expéditeur autorisé. Le point délicat est la liste des services habilités à écrire au nom du domaine : logiciel de facturation, outil d’envoi en nombre, application métier. Une liste incomplète fait échouer des messages légitimes dès que la politique est durcie. L’authentification se déploie donc par étapes, d’abord en observation, puis en blocage.
Protéger les comptes
La double authentification, la fermeture des anciens protocoles de connexion et la surveillance des règles de transfert forment le volet comptes. Une règle de transfert créée à l’insu de l’utilisateur est l’un des signes les plus discrets d’un compte compromis : les messages partent vers une adresse extérieure sans que personne ne le remarque.
Quand faut-il s’en occuper ?
Plusieurs situations font remonter le sujet, souvent après un incident :
- Un faux ordre de virement : un message qui paraît venir de la direction demande un paiement urgent, parfois en dehors des procédures habituelles.
- Un changement de coordonnées bancaires par e-mail : un fournisseur annonce un nouveau RIB sans autre vérification, et la question se pose dès qu’une telle demande arrive.
- Des clients qui reçoivent des messages au nom de l’entreprise : des envois frauduleux circulent avec le nom de domaine, sans qu’aucune boîte ait forcément été piratée.
- Des factures qui arrivent en indésirables : des messages légitimes sont écartés chez le destinataire parce que l’authentification n’est pas correctement en place.
- Un compte piraté qui écrit à tous ses contacts : la compromission d’une seule boîte devient une attaque en chaîne.
- Une double authentification absente : un mot de passe déjà connu suffit alors à ouvrir la boîte.
- Des boîtes chez un ancien intervenant : personne ne sait précisément où se trouvent les messages, ni s’il existe une sauvegarde.
Chacun de ces signaux justifie un examen, même lorsque la messagerie semble fonctionner normalement. Un audit du domaine et des comptes permet de savoir lequel traiter en premier.
Comment se déroule un projet ?
Un projet de sécurisation de la messagerie suit généralement trois temps. Son calendrier dépend surtout du nombre de domaines et de services qui envoient des messages.
Avant la mise en place
Le point de départ est un audit du domaine : lecture des enregistrements existants, recensement de tous les services qui envoient au nom de l’entreprise, relevé des tentatives d’usurpation déjà visibles. Cette cartographie fixe l’ordre des chantiers. Elle permet aussi de demander à chaque service tiers, avant toute bascule, s’il est bien autorisé à envoyer.
Pendant la mise en place
L’authentification des envois est déployée en observation d’abord : les rapports DMARC sont reçus et lus pour repérer les flux légitimes qui échouent, et les corrections sont appliquées service par service. Ce n’est qu’ensuite que la politique passe en quarantaine, puis en rejet. En parallèle, les comptes reçoivent la double authentification, les protocoles anciens sont fermés et le filtrage est réglé sur les pièces jointes et les liens.
Après la mise en place
Le suivi porte sur les rapports qui continuent d’arriver, sur les nouveaux services ajoutés au domaine et sur les messages en quarantaine, qui doivent être lus par une personne désignée. Une revue périodique, consignée par écrit, évite que la configuration se dégrade au fil des ajouts. Des consignes simples, indiquant comment signaler un doute, complètent le dispositif.
Ce qui distingue une bonne offre
Le prix dépend du nombre de boîtes et de domaines, de la messagerie déjà en place et des options de sécurité qu’elle inclut. Pour comparer deux propositions de même périmètre, regardez d’abord ce qui est réellement livré : un audit écrit du domaine, la liste des services autorisés, une politique DMARC documentée et un calendrier de passage en blocage.
Demandez ensuite qui lit les rapports et la quarantaine, à quelle fréquence, et qui décide de libérer un message. Une offre qui ne désigne personne laisse la protection sans pilote. Vérifiez aussi la sauvegarde : l’hébergeur de messagerie ne garantit pas toujours la restauration d’un message supprimé par erreur, et une copie indépendante des boîtes répond à ce besoin.
Enfin, regardez la procédure de changement de coordonnées bancaires : une demande de ce type doit être confirmée par un autre canal que l’e-mail reçu. Une offre qui décrit cette procédure dans son devis apporte une protection concrète, là où un tableau de fonctionnalités n’en apporte pas.
Les erreurs fréquentes
- Passer DMARC en rejet sans inventaire : des messages légitimes disparaissent, souvent ceux de la facturation. La parade est une phase d’observation qui dure le temps de recenser les services autorisés.
- Laisser DMARC en observation indéfiniment : les rapports s’accumulent sans que la politique protège quoi que ce soit. La parade est un calendrier de passage écrit, avec une date de revue.
- Croire qu’un filtre arrête tout : des messages bien construits passent. La parade est une double authentification et des utilisateurs qui savent signaler un doute.
- Ignorer les règles de transfert : une règle créée par un intrus expédie les messages vers l’extérieur. La parade est une vérification périodique des règles sur chaque boîte.
- Valider un changement de RIB par e-mail : c’est précisément ce que le message frauduleux cherche à obtenir. La parade est une confirmation par téléphone, sur un numéro déjà connu.
Les questions à poser avant de signer
Quatre questions permettent de vérifier le sérieux d’une proposition avant de signer.
Comment se déroule le passage de DMARC de l’observation au rejet ? La réponse doit décrire les étapes, la durée de la phase d’observation et la personne qui valide le passage.
Qui lit les rapports DMARC et les messages mis en quarantaine ? Sans nom ni fréquence, les rapports ne servent à rien et des messages légitimes restent bloqués.
Les services tiers qui envoient au nom du domaine sont-ils recensés ? Un outil oublié peut expliquer des factures qui arrivent en indésirables.
Une sauvegarde des boîtes est-elle prévue, indépendamment de l’hébergeur ? La question porte sur la restauration d’un message ou d’une boîte entière, et sur l’endroit où se trouve la copie.
Une réponse précise, écrite et datée vaut davantage qu’un engagement donné à l’oral.