Le guide définitif de Red Sift sur la sécurité de l’email
Dernière mise à jour : novembre 2025
En bref :
Ce guide complet couvre les protocoles d’authentification d’email (SPF, DKIM, DMARC, MTA-STS) essentiels pour protéger les domaines contre l’usurpation et le phishing en 2026.
À retenir :
- L’email reste vulnérable : 3,4 milliards de courriels de phishing envoyés chaque jour, l’email étant le principal vecteur d’attaque des cybercriminels
- SPF et DKIM seuls ne suffisent pas : Ils authentifient les expéditeurs mais n’empêchent pas l’usurpation exacte du domaine
- DMARC est désormais obligatoire : Exigé par Google, Yahoo et Microsoft pour les expéditeurs en masse (plus de 5 000 emails/jour) dès 2024-2025, un standard en 2026
- Calendrier de mise en œuvre : Red Sift OnDMARC permet aux organisations d’atteindre une politique de rejet (p=reject) en 6 à 8 semaines (le plus rapide du secteur)
- Bénéfices pour l’entreprise : Stoppe le phishing, protège la réputation de la marque, améliore la délivrabilité, active BIMI, favorise la conformité (NIS2, DORA, PCI DSS, RGPD)
- Défis techniques résolus : Le SPF dynamique élimine la limite des 10 recherches ; des outils automatisés accélèrent le dépannage
- MTA-STS ajoute une sécurité de transport : Chiffre les emails en transit entre serveurs de messagerie
En résumé : En 2026, l’authentification email n’est plus une option, elle est indispensable. Les organisations ont besoin du DMARC à p=reject pour une protection totale, les plateformes modernes permettant une mise en place rapide et fiable.
Qu’est-ce que ce guide sur la sécurité de l’email et pourquoi la sécurité de l’email est-elle importante ?
L’email est un outil incontournable pour la communication professionnelle partout dans le monde. Il est tellement crucial au bon fonctionnement quotidien des organisations, grandes ou petites, que beaucoup le considèrent aussi essentiel que l’électricité ou l’eau.
Mais c’est justement cette importance qui rend l’email vulnérable du point de vue de la cybersécurité. En 2026, les attaquants affinent constamment leurs méthodes. Avec 3,4 milliards de courriels de phishing envoyés chaque jour, il est clair que les systèmes de messagerie sont la cible privilégiée des cybercriminels qui cherchent à accéder à votre entreprise. Il suffit qu’un seul collaborateur tombe dans le piège d’une arnaque bien ficelée, clique sur un lien infecté ou télécharge une pièce jointe malveillante pour que toute votre activité soit paralysée.
Compte tenu de l’importance de la sécurisation des emails pour les organisations, nous avons conçu ce guide complet afin d’aider aussi bien les novices que les responsables d’achat à répondre à leurs questions en matière de sécurité email. Dans les chapitres qui suivent, vous trouverez des informations détaillées sur :
- Comment les attaquants exploitent les portes d’entrée faibles, les enregistrements DNS mal configurés et les domaines non surveillés
- Pourquoi SPF, DKIM et DMARC sont plus efficaces lorsqu’ils sont utilisés ensemble, et comment MTA-STS renforce la sécurité du transport
- La checklist d’achat : profondeur de reporting, automatisation, application des politiques, ROI, et délai de mise en œuvre
Bonne lecture !
Si vous êtes architecte ou analyste en sécurité de l’email et recherchez un guide plus technique, consultez notre Guide technique de configuration des emails. Ce manuel complet explore SPF, DKIM, DMARC, MTA-STS et plus encore, apportant conseils et astuces pratiques pour renforcer la sécurité de votre messagerie.
Questions fréquentes : Guide de la sécurité de l’email
Toutes les mesures de sécurité des emails (à l’exception de DMARC) sont inefficaces pour détecter un email malveillant lorsqu’il semble provenir d’un domaine légitime. Cela s’explique par une faille dans le Simple Mail Transfer Protocol (SMTP). En octobre 2008, le Network Working Group l’a officiellement qualifié « d’intrinsèquement non sécurisé », indiquant que quiconque pouvait usurper un domaine et l’utiliser pour envoyer des emails frauduleux en se faisant passer pour le propriétaire du domaine.
Quiconque possède quelques connaissances de base en codage peut apprendre, en quelques recherches sur Google, les étapes nécessaires pour usurper l’identité d’un email. Le résultat est un email qui semble légitime sans les indicateurs typiques de phishing. Avec 3,4 milliards d’emails de phishing envoyés chaque jour, les systèmes de messagerie restent la cible privilégiée des cybercriminels.
SPF (Sender Policy Framework) vérifie qu’un email est envoyé à partir d’une adresse IP autorisée par l’enregistrement SPF du domaine expéditeur, via un enregistrement TXT DNS qui liste les serveurs de messagerie autorisés.
DKIM (DomainKeys Identified Mail) utilise une signature cryptographique, validée par une clé publique dans le DNS, pour confirmer que le contenu de l’email n’a pas été modifié et provient d’un domaine autorisé. Tous deux sont essentiels à la sécurité de l’email, mais aucun ne prévient l’usurpation exacte d’un domaine.
Si ces protocoles informent le destinataire de l’origine d’un email, celui-ci n’a aucune instruction sur la façon d’agir sur cette information. Les principaux fournisseurs de messagerie exigent désormais SPF et DKIM pour les expéditeurs d’emails en masse en 2026.
DMARC signifie Domain-based Message Authentication, Reporting, and Conformance. C’est un protocole de sécurité sortante de l’email qui permet aux propriétaires de domaines d’indiquer aux boîtes de réception de rejeter les emails usurpés. DMARC fonctionne en combinant les résultats de SPF et DKIM pour déterminer si votre email est authentique et autorisé.
La politique DMARC (définie par le tag « p= » dans votre enregistrement DNS) indique ensuite aux serveurs destinataires ce qu’ils doivent en faire. DMARC empêche l’usurpation exacte d’un domaine en demandant aux serveurs destinataires de ne pas accepter les emails qui ne sont pas authentifiés. En 2026, DMARC est devenu une exigence standard pour les organisations envoyant des emails en masse.
La spécification SPF limite les recherches DNS à 10. Si votre enregistrement SPF dépasse cette limite, le SPF échouera. Les mécanismes SPF comptabilisés sont : a, ptr, mx, include, redirect et exists. En réalité, 10 recherches ne suffisent pas car la plupart des entreprises utilisent plusieurs outils d’envoi d’emails.
G Suite utilise à lui seul 4 recherches DNS. Ajoutez HubSpot pour le marketing, qui en utilise 7, et vous dépassez déjà la limite. Dès que vous dépassez les 10 recherches SPF, votre trafic d’emails commencera à échouer aléatoirement à la validation. C’est pourquoi les organisations en 2026 passent à une gestion dynamique du SPF plutôt que de tenter de maintenir manuellement des enregistrements aplanis.
Mail Transfer Agent Strict Transport Security (MTA-STS) est une norme qui permet de chiffrer les messages envoyés entre deux serveurs de messagerie. Elle spécifie que les emails ne peuvent être envoyés que via une connexion chiffrée Transport Layer Security (TLS), ce qui empêche l’interception par des cybercriminels. SMTP seul ne fournit aucune sécurité, ce qui le rend vulnérable aux attaques de type man-in-the-middle où les communications sont interceptées et potentiellement modifiées.
De plus, le chiffrement est optionnel dans SMTP, ce qui signifie que les emails peuvent être envoyés en clair. Sans MTA-STS, un attaquant peut intercepter la communication et forcer l’envoi du message en texte clair. En 2026, MTA-STS est devenu un contrôle de sécurité standard pour les organisations traitant des communications sensibles.
En mettant en place DMARC, vous bénéficiez de l’arrêt des tentatives de phishing paraissant provenir de votre domaine, d’une confiance renforcée de vos clients, d’un risque cyber réduit ainsi que du respect des exigences des plateformes d’envoi en masse, comme Google, Yahoo et Microsoft.
DMARC renforce la conformité avec PCI DSS 4.0 et améliore la résilience globale de l’organisation face à l’évolution des menaces cyber. Une fois la politique en p=reject (application), DMARC bloque la fraude fournisseurs, la prise de contrôle de comptes et l’usurpation d’identité par email en empêchant les acteurs malveillants d’utiliser votre domaine pour envoyer des emails de phishing ou réaliser des attaques de fraude au Président (BEC). Selon le rapport Data Breach Investigations Report de Verizon 2025, les attaques BEC constituent plus de 17 à 22% de tous les incidents d’ingénierie sociale.
Red Sift OnDMARC accélère le parcours DMARC grâce à la découverte automatisée des expéditeurs, à des corrections préconisées, à la détection des anomalies et à des accès par rôle pour les équipes globales. À partir de 2026, les principales plateformes permettent aux entreprises d’atteindre l’application p=reject (enforcement) en 6 à 8 semaines, contre six mois auparavant.
L’un des bénéfices les plus fréquemment rapportés d’OnDMARC est le délai moyen de 6 à 8 semaines pour atteindre l’application totale. La puissante automatisation de la plateforme analyse en continu ce qui se passe sur votre domaine, mettant en avant des alertes précises sur les changements à effectuer et où. En 24 heures après l’ajout de votre enregistrement DMARC spécifique dans le DNS, OnDMARC commence à analyser et afficher les rapports DMARC dans des tableaux de bord clairs.
Les principaux fournisseurs d’email, dont Microsoft, Google et Yahoo, exigent désormais la mise en place de DMARC pour les expéditeurs d’emails en masse (organisations envoyant plus de 5 000 emails par jour) depuis 2024-2025, et ces exigences sont devenues standard en 2026.
En plus des exigences des fournisseurs de boîtes de réception, certains secteurs et réglementations gouvernementales tendent vers l’obligation de DMARC. Les agences fédérales américaines sont tenues d’utiliser DMARC, tout comme les établissements de paiement réglementés par DORA. De plus, la mise en œuvre de DMARC renforce la conformité avec PCI DSS 4.0, le RGPD, et NIS2. Pour la cybersécurité, la sécurité des emails et les équipes IT, s’assurer que la sécurité des emails de votre organisation soit conforme aux bonnes pratiques internationales et aux exigences en vigueur est essentiel.