La boîte de réception de la direction est devenue un poste de tri. Il y a les vraies factures fournisseurs, les fausses factures qui reprennent une mise en page crédible, les lettres d'information auxquelles personne ne s'est jamais inscrit, et les messages annonçant un colis que l'entreprise n'a pas commandé. Chaque collaborateur arbitre plusieurs dizaines de fois par jour, à la vitesse à laquelle on traite ses mails un mardi de forte activité. Statistiquement, quelqu'un finira par se tromper, et ce n'est pas un défaut de vigilance individuelle.
La réponse habituelle est que le filtrage existe déjà : Microsoft 365 classe les indésirables, la messagerie de l'hébergeur aussi. C'est exact, et ce n'est pas suffisant. Cet article explique où se situe la différence entre un filtre intégré à la boîte et un filtrage placé en amont, ce que nous configurons concrètement avec Mailinblack, dont nous sommes partenaires, et ce qu'aucun filtre ne réparera à votre place.
Ce que le filtre intégré à la messagerie voit, et ce qu'il voit trop tard
Un filtre intégré à la messagerie travaille sur des messages qui sont déjà entrés dans votre environnement. Il les classe dans un dossier d'indésirables auquel l'utilisateur a accès, et c'est précisément là que se joue le problème. Le dossier des indésirables est consulté, parce que tout le monde a déjà perdu un message important dedans. Un collaborateur qui cherche une confirmation de commande y descend, tombe sur un message qui ressemble à ce qu'il attend, et le rouvre lui-même. Le classement n'a rien empêché, il a seulement déplacé la décision.
La seconde limite concerne la nature de la menace. Un message de hameçonnage bien construit ne contient aucune pièce jointe malveillante. Il contient un lien vers une page web qui reproduit un formulaire de connexion familier, généralement celui de Microsoft 365. Le collaborateur saisit son adresse et son mot de passe sur cette page. Aucun logiciel n'a été installé, aucun fichier n'est arrivé sur le disque, et la protection du poste n'a rien à signaler : nous expliquons pourquoi dans votre antivirus ne voit plus tout. À partir de cet instant, ce n'est plus une nuisance, c'est un incident, parce que l'accès obtenu donne la boîte, l'historique des échanges, les documents partagés et la liste des contacts avec qui l'entreprise a l'habitude de correspondre.
Ce que change un filtrage placé avant la boîte
Placer le filtrage en amont signifie que les messages destinés à votre domaine transitent par le service de filtrage avant d'atteindre votre messagerie. Techniquement, cela se règle dans les enregistrements de messagerie de votre nom de domaine. Concrètement, trois choses changent.
- Le message douteux n'entre jamais dans la boîte. Il est retenu en quarantaine, sur un espace distinct de la messagerie, et l'utilisateur ne peut pas le rouvrir par inadvertance en cherchant autre chose. La libération d'un message est une action volontaire et identifiable.
- Le volume traité par votre messagerie diminue. Cela n'a l'air de rien, mais une boîte qui reçoit un flux important d'indésirables consomme du stockage, ralentit les recherches et complique les migrations.
- Vos adresses et vos habitudes ne changent pas. Aucune adresse à modifier, aucun logiciel à installer sur les postes, aucun changement d'interface. Le dispositif fonctionne devant Microsoft 365, Exchange, la messagerie d'Infomaniak ou Google Workspace, et il se met en place à distance.
Nous détaillons ce niveau de service sur notre page antispam. Il ne remplace pas la protection des postes, il travaille en amont d'elle : les deux étages traitent des moments différents de la même attaque.
La quarantaine ne fonctionne que si elle reste lisible
Voici l'erreur que nous corrigeons le plus souvent chez des clients déjà équipés d'un filtre avant de nous connaître. Une quarantaine mal réglée envoie trop de notifications, ou elle en envoie à un rythme qui ne correspond pas au métier. Le résultat est prévisible : les collaborateurs cessent de la consulter, ils demandent qu'on leur ouvre tout, ou ils installent un renvoi de leurs messages vers une adresse personnelle pour ne plus dépendre du dispositif. Le filtre est alors devenu un obstacle, et il finit désactivé.
Nous réglons donc le rythme des récapitulatifs en fonction de l'usage réel. Un service commercial qui reçoit des demandes entrantes de prospects inconnus a besoin d'un récapitulatif quotidien, parfois plus fréquent. Un service technique qui correspond toujours avec les mêmes interlocuteurs peut se contenter d'un envoi moins fréquent. Nous formons également les équipes en quinze minutes, sur un seul geste : ouvrir la quarantaine, reconnaître un correspondant attendu, libérer ce message précis. Nous insistons sur le fait que libérer un message parce qu'on ne comprend pas pourquoi il a été retenu n'est pas une décision, et que dans le doute il vaut mieux nous transférer la question.
Vos propres envois, le piège des émetteurs oubliés
Un point pratique qui déclenche beaucoup d'appels : le filtrage ne concerne pas seulement ce que vous recevez, il révèle aussi les défauts de ce que vous envoyez. Une PME expédie des messages depuis plus d'endroits qu'elle ne le croit. Il y a la messagerie principale, mais aussi le formulaire de contact du site, l'outil de facturation, le logiciel de caisse, la solution de lettre d'information, et parfois le copieur qui envoie les documents numérisés.
Si l'un de ces émetteurs n'est pas déclaré dans les enregistrements d'authentification de votre domaine, vos propres devis peuvent être retenus chez vos clients. Nous traitons systématiquement ce volet en même temps que le filtrage entrant, et nous le détaillons dans vos e-mails arrivent en indésirables, SPF, DKIM et DMARC. Le cas voisin du formulaire de site dont les messages n'arrivent jamais relève de la même vérification.
Ce qu'un filtre ne répare pas
Nous préférons annoncer les limites à l'audit plutôt qu'après la mise en place. Un filtrage en amont réduit fortement le volume qui atteint vos collaborateurs, il ne garantit pas qu'aucun message frauduleux ne passera jamais. Un message envoyé depuis la boîte réellement compromise d'un fournisseur avec qui vous échangez depuis dix ans dispose de tous les attributs de la légitimité, et il demande une vigilance humaine sur le fond du message, notamment lorsqu'un changement de coordonnées bancaires est annoncé.
Le filtre ne protège pas davantage un compte dont le mot de passe circule déjà. C'est le rôle de la double authentification, qui reste la mesure la plus rentable que nous posons sur une messagerie d'entreprise. Il ne récupère pas non plus une adresse inscrite malgré elle dans des listes de diffusion achetées, et il ne remplace pas une sauvegarde de la messagerie hors de l'éditeur.
Notre mise en place sur un domaine déjà en production
Nous commençons par l'inventaire des domaines et de tous les émetteurs légitimes, y compris ceux que personne n'avait mentionnés. Nous préparons les enregistrements de messagerie et les règles de réception, puis nous basculons le flux entrant en gardant l'ancien chemin disponible pendant la propagation, afin qu'aucun message ne soit perdu. Nous formons les équipes à la quarantaine dans la même semaine, pas trois mois plus tard.
Nous revenons ensuite sur les réglages après deux à trois semaines de trafic réel, parce que la seule façon de calibrer un filtre est d'observer ce qu'il retient chez vous. Le suivi se fait dans le même service d'assistance que le reste du parc, ce qui évite d'avoir un interlocuteur distinct pour la messagerie. L'ensemble s'inscrit dans le contrat d'infogérance à partir de 120 HT / mois, le même chiffre en euros et en francs, aux côtés de la gestion courante de votre messagerie.
Si vos équipes trient encore le hameçonnage à la main et si personne ne sait dire ce que votre filtre actuel a retenu la semaine dernière, parlez-nous de vos boîtes. Nous vous dirons si le filtrage en amont est la bonne priorité, ou s'il faut d'abord remettre en ordre les enregistrements de votre nom de domaine.