Défense cybernétique active : la transition Mail Check et Web Check avec Ciaran Martin et Rahul Powar

Le 31 mars 2026, les services Mail Check et Web Check du NCSC ont été désactivés. Pour des milliers d'organisations du secteur public britannique, cela signifie perdre toute visibilité sur leur posture d'authentification des e-mails du jour au lendemain.

Le PDG et co-fondateur de Red Sift, Rahul Powar, s'est entretenu avec Ciaran Martin, ancien PDG du National Cyber Security Centre (NCSC) qui a contribué à la création du programme Active Cyber Defence, pour discuter de ce qui change, pourquoi c'est important, et ce que les organisations doivent faire avant l'échéance. Voici ce qui est ressorti de cette conversation.

Mail Check n'a pas été conçu pour durer éternellement. Il s'agissait d'une réponse directe à une crise mesurable.

Lorsque le NCSC a d'abord examiné l'ampleur de l'usurpation de domaine dans l'ensemble du gouvernement britannique, le constat était alarmant. Comme Ciaran Martin l'a expliqué lors du webinaire : « La 16e marque la plus usurpée au monde que nous ayons pu trouver était HMRC, et c'était la marque numéro un la plus usurpée au Royaume-Uni. »

L'application du DMARC a résolu ce problème. En un an après la mise en œuvre par HMRC, 500 millions d'e-mails usurpés ont été bloqués avant même d'atteindre la boîte de réception d'un citoyen britannique. Mail Check a généralisé cette approche dans l'ensemble du secteur public, en offrant des outils gratuits et accessibles à des organisations qui n'auraient pas pu y parvenir seules.

Mais le programme a toujours été conçu comme une intervention temporaire. L'objectif était toujours d'arriver à un point où les fournisseurs commerciaux pourraient prendre le relais et où le gouvernement pourrait concentrer ses capacités sur les menaces les plus sophistiquées. Ce point est arrivé.

Red Sift a analysé les domaines gov.uk avant le webinaire. Le constat principal est qu'environ 50 % des domaines gov.uk sont au niveau de rejet DMARC, ce que Rahul a décrit comme « étonnamment élevé » selon les normes mondiales. Les efforts du NCSC au cours des neuf dernières années ont réellement fait avancer les choses.

Mais 22 % des domaines gov.uk ne sont toujours pas entièrement conformes. Et sur les 3 540 domaines qui ne rapportent actuellement qu'à Mail Check, une part importante perdra toute visibilité sur son trafic de messagerie dès que le service sera désactivé.

C'est là le véritable risque. Il ne s'agit pas seulement des organisations qui n'ont pas encore atteint l'application du DMARC. Il s'agit aussi des organisations déjà au niveau de rejet ou de mise en quarantaine, mais qui n'auront aucun moyen de savoir si un changement de configuration casse quelque chose. Une nouvelle plateforme CRM, un expéditeur tiers, une mise à jour DNS. N'importe lequel de ces éléments pourrait faire échouer l'authentification d'e-mails légitimes sans alerte ni rapport.

Comme l'a formulé Ciaran Martin : « À qui appartient désormais notre authentification des e-mails, maintenant que le NCSC ne s'en occupe plus ? C'est une question essentielle à laquelle les organisations doivent répondre dans les 40 prochains jours. »

L'urgence ne se limite pas à une échéance. L'environnement de menace est nettement plus grave qu'au moment du lancement de Mail Check.

Le Royaume-Uni a connu une mauvaise année 2025. Les attaques par ransomware ont causé de graves dommages économiques et sociaux. Des acteurs étatiques, en particulier dans le contexte de Volt Typhoon, ciblent des organisations ordinaires, pas seulement les infrastructures critiques. Et les outils d'IA facilitent et rendent moins coûteuse la recherche de vulnérabilités basiques à grande échelle automatisée.

L'authentification des e-mails est un contrôle fondamental. Sans elle, chaque autre couche de sécurité doit travailler davantage et les attaquants disposent d'une voie d'accès plus facile. Ce n'est pas le moment d'une chute brutale de la couverture.

Mail Check fournissait des rapports de base solides, des tableaux de bord de conformité et des guides de remédiation. Ce qu'il n'a jamais réussi à faire, c'est suivre le rythme des normes développées depuis son lancement.

MTA-STS, BIMI, la surveillance intelligente continue, les alertes en temps réel et la gestion de l'inventaire des actifs se situent tous en dehors de ce que Mail Check a jamais offert. Les solutions commerciales peuvent fournir tout cela, et pour les organisations déjà au niveau d'application, la priorité est de s'assurer que la surveillance se poursuit sans interruption.

Red Sift est disponible sur G-Cloud 14 et propose un produit DMARC entièrement géré, ainsi que des abonnements logiciels autonomes pour les organisations qui souhaitent l'équivalent de Mail Check avec les fonctionnalités qu'il n'a jamais pu développer.

Si vous ne savez pas où en sont vos domaines actuellement, commencez par là.