La plupart des entreprises ne peuvent toujours pas répondre à une question simple sur leur messagerie

Co-écrit par Red Sift et Bespin Labs (Patronum).

Voici une question à laquelle tout responsable informatique devrait pouvoir répondre : si quelqu'un usurpait votre domaine dès maintenant et envoyait un e-mail de phishing à vos clients, serait-il bloqué ?

La plupart ne peuvent pas répondre à cette question avec certitude. Et les chiffres le confirment. L'analyse de Red Sift portant sur plus de 73 millions de domaines a révélé que seulement 14,9 % ont mis en place ne serait-ce qu'une politique DMARC de base. Seuls 2,5 % appliquent le niveau de protection le plus strict, p=reject. Cela signifie qu'environ 84 % des domaines n'ont aucun enregistrement DMARC visible.

Ce ne sont pas des failles techniques obscures. Ce sont des portes ouvertes.

L'authentification des e-mails n'est pas une nouveauté. SPF (Sender Policy Framework) existe depuis 2006. DKIM (DomainKeys Identified Mail) est arrivé la même année. DMARC (Domain-based Message Authentication, Reporting and Conformance) a été publié en 2012. Ensemble, ils forment une défense à plusieurs niveaux qui indique aux serveurs de messagerie destinataires comment vérifier si un e-mail provient réellement de celui qu'il prétend être.

SPF précise quelles adresses IP sont autorisées à envoyer des e-mails au nom d'un domaine. DKIM associe une signature cryptographique à chaque message afin que les destinataires puissent vérifier qu'il n'a pas été altéré. DMARC relie le tout, en indiquant aux destinataires quoi faire lorsqu'un message échoue à ces vérifications et où envoyer des rapports à ce sujet.

Les concepts ne sont pas compliqués. Mais la mise en œuvre ? C'est là que les choses bloquent.

La plupart des organisations disposent de dizaines de services qui envoient des e-mails en leur nom : plateformes marketing, outils CRM, systèmes RH, services d'assistance, prestataires de facturation. Chacun d'entre eux doit être pris en compte dans votre configuration SPF et DKIM. Un seul oubli, et des e-mails légitimes commencent à échouer à l'authentification. Si cela vous effraie, vous laissez votre politique DMARC en p=none (surveillance uniquement) indéfiniment.

C'est exactement ce qui se passe à grande échelle. Les recherches montrent que plus de 508 000 domaines sont en p=none, ce qui signifie qu'ils collectent des données sur qui utilise leur domaine, mais ne font rien pour empêcher les expéditeurs non autorisés. Ils ont fait le premier pas et se sont arrêtés là.

La pression vient de plusieurs directions à la fois, et elle converge rapidement.

Les fournisseurs de messagerie ont été les premiers à imposer le sujet. Google et Yahoo ont introduit des exigences DMARC pour les expéditeurs en masse début 2024. Microsoft a suivi en 2025. Si vous envoyez plus de 5 000 e-mails par jour à l'un de ces fournisseurs, vous avez besoin d'un enregistrement DMARC. Ce n'est plus optionnel. C'est un prérequis pour la délivrabilité.

Puis les régulateurs ont rattrapé leur retard. PCI DSS 4.0.1 impose désormais DMARC avec une politique p=quarantine ou p=reject pour toute organisation traitant des paiements par carte. La non-conformité peut entraîner des pénalités allant de 5 000 $ à 100 000 $ par mois. Pour les entreprises de la finance, du commerce de détail et de l'e-commerce, l'authentification des e-mails est passée du statut de « bonne pratique de sécurité » à celui d'« exigence réglementaire ».

Et pendant ce temps, l'IA a considérablement réduit le coût de production du phishing. Ce qui prenait autrefois 16 heures à un attaquant expérimenté pour être fabriqué manuellement peut désormais être généré en environ 5 minutes. Les e-mails sont mieux rédigés, plus personnalisés, et plus difficiles à repérer. Le volume augmente. Et les attaquants usurpent votre domaine pour y parvenir.

Chez Bespin Labs, nous travaillons chaque jour avec des organisations sur la gestion de Google Workspace via Patronum. Nous voyons le côté opérationnel de la messagerie : provisionnement des utilisateurs, signatures e-mail, contrôles d'accès, workflows de départ des employés.

Ce que nous constatons sans cesse, c'est le même écart. Les organisations investissent massivement dans la gestion de leur infrastructure de messagerie, mais négligent la couche d'authentification qui la protège. Elles ont des politiques détaillées sur ce qui se passe lorsqu'un employé quitte l'entreprise, une gestion automatisée des signatures pour des milliers d'utilisateurs, et un contrôle granulaire du partage de fichiers. Mais interrogez-les sur leur politique DMARC, et la conversation est beaucoup moins claire.

Cet écart s'explique par la manière dont les responsabilités sont réparties. L'authentification des e-mails se retrouve souvent entre les équipes IT, sécurité et marketing. Aucune équipe unique n'en est propriétaire. Et comme elle réside dans des enregistrements DNS plutôt que dans un tableau de bord visible, il est facile d'oublier qu'elle existe, ou qu'elle n'existe pas.

L'authentification des e-mails n'a pas besoin d'être un projet de six mois. Mais elle nécessite une attention délibérée.

Le point de départ, c'est la visibilité. Avant de changer quoi que ce soit, vous devez comprendre votre situation actuelle.

1. Quels enregistrements DMARC, SPF et DKIM existent pour votre domaine ?
2. Sont-ils configurés correctement ?
3. Sont-ils alignés ?

Un outil gratuit comme Red Sift Investigate peut effectuer une vérification en temps réel de votre domaine en moins de 30 secondes et vous indiquer exactement où vous en êtes.

Vient ensuite le mapping des expéditeurs, l'étape que la plupart des gens sautent, et celle qui cause le plus de problèmes par la suite. Chaque service qui envoie des e-mails en votre nom doit être identifié et authentifié. Votre plateforme d'automatisation marketing, votre système de ticketing, votre logiciel de facturation, et tout ce que vos équipes ont connecté au fil des années. Les rapports agrégés DMARC (rua) sont utiles ici. Ils vous montrent qui envoie des e-mails en utilisant votre domaine, légitimement ou non.

Une fois que vous avez cette vue d'ensemble, vous pouvez passer de la surveillance à l'application. Publier un enregistrement DMARC en p=none est un début. Mais cela ne protège rien en réalité. L'objectif est d'atteindre p=quarantine (les e-mails suspects vont dans les spams), puis p=reject (les e-mails non autorisés sont entièrement bloqués). Cela demande de la confiance, qui provient d'un mapping correct de vos expéditeurs et de la résolution préalable des problèmes d'authentification.

Ce qu'on oublie souvent, c'est la maintenance. L'authentification des e-mails n'est pas une opération « configurer et oublier ». De nouveaux services sont ajoutés, les enregistrements DNS changent, les configurations tierces dérivent. Les organisations qui traitent cela comme un élément vivant de leur posture de sécurité, plutôt qu'une case de conformité à cocher une seule fois, sont celles qui restent protégées.

Vous pouvez techniquement faire tout cela vous-même. Les protocoles sont des standards ouverts. Les enregistrements résident dans le DNS. Les rapports sont des fichiers XML, et grâce à Patronum, nos clients ont gagné une meilleure visibilité.

Mais la réalité reste que la plupart des organisations manquent de l'expertise interne ou du temps nécessaire pour gérer efficacement DMARC dans un écosystème de messagerie complexe. Ce n'est pas une critique. C'est une reconnaissance du fait qu'analyser des rapports agrégés XML, résoudre les problèmes d'alignement SPF sur 40 expéditeurs tiers, et faire évoluer les niveaux de politique en toute sécurité sans casser la livraison des e-mails légitimes est réellement difficile.

Un fournisseur DMARC dédié vous décharge de cette complexité. Le bon partenaire vous donnera une visibilité claire sur votre posture d'authentification des e-mails, automatisera la découverte et la classification de vos expéditeurs, et vous guidera dans l'escalade de politique à un rythme qui ne perturbe pas votre activité. Il surveillera également les menaces émergentes telles que les prises de contrôle de sous-domaines et les enregistrements DNS orphelins que les attaquants exploitent pour contourner totalement DMARC.

L'élément clé à rechercher : un fournisseur qui vous mène jusqu'à l'application, pas un qui se contente de vous laisser en p=none à collecter des rapports indéfiniment. Le but de DMARC est de bloquer l'utilisation non autorisée de votre domaine. Si votre fournisseur ne vous fait pas activement progresser vers ce résultat, il ne fait pas son travail.

L'authentification des e-mails ne nécessite pas d'approbation budgétaire ni de discussion au niveau du conseil d'administration pour commencer. Cela débute par une question simple : mon domaine est-il protégé ?

Si vous ne connaissez pas la réponse, découvrez-la. Red Sift Investigate est un outil gratuit qui effectue une analyse dynamique et en temps réel de votre configuration DMARC, SPF, DKIM, BIMI, MTA-STS et TLS. Envoyez un e-mail de test et vous aurez une image claire de l'état de sécurité des e-mails de votre domaine en moins d'une minute. Aucune inscription requise.

Les protocoles sont gratuits. Les outils pour vérifier votre domaine sont gratuits. Le seul coût est celui de ne pas le faire.

Sécuriser votre domaine avec DMARC est la première étape pour protéger la réputation de votre marque, mais la véritable sécurité ne s'arrête pas à la passerelle. Alors que Red Sift garantit que votre identité e-mail est infaillible, Patronum fournit la couche opérationnelle nécessaire pour maintenir un environnement Google Workspace véritablement sécurisé et conforme.

De l'intégration et du départ automatisés des employés à la gouvernance avancée du partage de fichiers et à la cohérence des signatures e-mail, Patronum comble les failles que les attaquants exploitent une fois qu'ils sont à l'intérieur de votre écosystème.

Découvrez Patronum pour voir comment il peut renforcer la sécurité de votre Google Workspace, réduire votre surface d'attaque, et maintenir votre organisation en avance sur l'évolution du paysage des menaces.

Pour les clients Patronum existants, nous sommes prêts à vous aider à faire évoluer votre sécurité et votre visibilité afin de maintenir une conformité et un contrôle complets. Contactez notre équipe dès aujourd'hui pour découvrir comment Red Sift et Patronum sont prêts à vous accompagner.