La messagerie, première porte d'entrée des attaques
91 % des cyberattaques commencent par un email. Phishing, ransomware embarqué, usurpation du dirigeant pour faire virer de l'argent (la fameuse arnaque "au président")… La messagerie reste le maillon le plus exposé du SI.
Pourtant, beaucoup de PME se contentent encore d'une boîte mail standard, sans protection avancée, sans authentification renforcée, sans politique de gestion. Voici comment changer ça.
Le strict minimum en 2026
1. MFA (Multi-Factor Authentication) sur 100 % des comptes
Activer la double authentification (MFA) divise par 100 le risque de compromission. Concrètement : un mot de passe seul ne suffit plus, l'utilisateur doit valider sur son smartphone (Microsoft Authenticator, Google Authenticator).
C'est gratuit, c'est simple, c'est non négociable.
2. SPF, DKIM, DMARC
Ces trois protocoles permettent à votre serveur d'authentifier vos emails sortants et d'éviter qu'on usurpe votre domaine. Sans eux, n'importe qui peut envoyer un email "depuis @votreentreprise.fr" et tromper vos clients.
- SPF : déclare quels serveurs sont autorisés à envoyer pour votre domaine
- DKIM : signe cryptographiquement vos emails
- DMARC : indique comment réagir si un email échoue les contrôles
Configuration : 1 demi-journée. Bénéfice : énorme.
3. Anti-spam / anti-malware avancé
Le filtre standard de Microsoft 365 ou Google Workspace stoppe 95 % des spams. Mais pour les attaques ciblées (spear-phishing, BEC), il faut une couche dédiée :
- Microsoft Defender for Office 365 (inclus en M365 Business Premium)
- Mailinblack, Proofpoint Essentials, Vade Secure : anti-phishing avancé français
- Mimecast, Barracuda : solutions internationales
Ces outils ouvrent les liens dans une sandbox, analysent les pièces jointes, détectent les comportements suspects.
Au-delà de la sécurité : la conformité et la productivité
Archivage légal et e-discovery
Certains secteurs (santé, finance, juridique) sont soumis à des obligations d'archivage des emails. Microsoft 365 Business Premium inclut une politique d'archivage. Pour des besoins poussés (e-discovery, mise en demeure), des outils comme MailStore ou Smarsh sont indispensables.
Signature centralisée
Une signature email homogène, professionnelle, avec disclaimer légal, gérée centralement (pas par chaque utilisateur), donne une image cohérente. Outils : Exclaimer, CodeTwo, RocketSign.
Anti-fuite de données (DLP)
Empêcher l'envoi accidentel ou malveillant de données sensibles (numéros de CB, données personnelles, secrets industriels) en dehors de l'entreprise. Microsoft Purview DLP (inclus en M365 Premium) le permet sans logiciel additionnel.
Les bonnes pratiques utilisateurs
La technologie ne suffit pas. La formation et les rituels sont essentiels :
Sensibilisation régulière
Une formation anti-phishing 1 fois par an + des tests grandeur nature (faux phishing envoyé pour mesurer le taux de clic) maintiennent la vigilance.
Process de validation des paiements
Aucun virement ne doit être validé sur la seule base d'un email, même apparemment du dirigeant. Double validation par téléphone sur un numéro connu, ou via une procédure formelle.
Gestion des départs
Quand un collaborateur part : désactivation immédiate du compte, redirection des emails vers le manager, archivage de la boîte. C'est basique, c'est rarement bien fait.
Quelle solution choisir ?
Pour la majorité des PME : Microsoft 365 Business Premium
- Tous les outils sécurité inclus (Defender, Intune, MFA, DLP)
- Archivage et e-discovery
- ~22 €/utilisateur/mois
C'est le meilleur rapport qualité/prix du marché aujourd'hui.
Alternative : Google Workspace Business Plus
- Sécurité native (Vault, Cloud Identity, contextual access)
- Bonne intégration mobile
- ~16-18 €/utilisateur/mois
Choix pertinent si vous êtes déjà Google.
Souverain : OVHcloud Email Pro / Hexamail
- Hébergement France, conforme RGPD strict
- Adapté aux acteurs publics, santé, défense
Moins riche fonctionnellement, mais souverain.
Les pièges classiques
- Mot de passe partagé entre utilisateurs : c'est interdit, dangereux, et illégal pour les comptes nominatifs
- Pas de MFA sur le compte admin : l'erreur fatale, qui donne le contrôle à qui craque le mot de passe
- Filtres anti-spam trop agressifs sans whitelist : vos emails clients en spam
- Pas de surveillance des connexions : un compte compromis utilisé en silence pendant des semaines
Et si je suis attaqué ?
En cas de compromission de boîte mail :
- Changez le mot de passe immédiatement + révoquez les sessions actives
- Vérifiez les règles de redirection suspectes ajoutées par l'attaquant (très courant)
- Audit des emails envoyés récemment depuis le compte
- Notifiez vos contacts que des emails frauduleux ont pu être envoyés en votre nom
- CNIL si données personnelles compromises (sous 72h, RGPD)
- Plainte auprès de la police / gendarmerie
Conclusion
La messagerie sécurisée n'est pas un sujet "plus tard". C'est une nécessité aujourd'hui. MFA partout, SPF/DKIM/DMARC bien configurés, sensibilisation régulière : c'est le minimum vital.
Votre messagerie est-elle vraiment sécurisée ? Demandez un audit messagerie — nous testons vos protections réelles en 1 semaine.
