Le problème, c’est quand, aujourd’hui, vous recevez comment être sûr que l’émetteur est bien celui qu’il prétend. La fraude par emails se généralise, et devient de plus en plus performante. Et pourtant, il existe un moyen très simple de se protéger.
Le cas d’une PME
Au mois de décembre, j’ai le responsable informatique d’une PME de la région Rhône-Alpes qui me contacte, et qui me demande de trouver une solution très efficace pour gérer les problèmes d’usurpation d’email.
L’usurpation d’email, c’est lorsque vous avez l’impression de recevoir un email de votre voisin de bureau, sauf que votre voisin n’a jamais envoyé cette email.
Cette entreprise est utilisatrice de G Suite (Google Apps), et malgré cela, elle reçoit des emails frauduleux.
Analyse de la situation
Après avoir vérifié, il semble que le prestataire qui a mis en place le nom de domaine, n’a pas fait son travail jusqu’au bout. Il manque des éléments pour authentifier les emails.
Nom de domaine
A chaque nom de domaine, est associé des enregistrements DNS. Les enregistrements DNS c’est comme des panneaux de direction sur la route. Il vous indique où trouver l’information que vous voulez.
Ainsi, un enregistrement DNS est consacré indiquer la route à suivre pour délivrer les emails, un autre pour la route à suivre pour aller sur le site internet, etc.
Trop souvent, les prestataires qui mettent ne place le serveur Web, ne prennent pas le temps de déclarer la route pour authentifier les emails.
Authentifier les emails
Pour authentifier les emails, il existe 2 solutions, qu’il faut mettre en place conjointement :
- Valider l’émetteur
- Signer numériquement l’email
Valider l’émetteur
Valider l’émetteur permet de prévenir le destinataire de l’email, si les messages provient d’une source fiable. Dans G Suite – Gmail, vous avez une alerte visuelle comme quoi l’émetteur n’est pas fiable.
Si vous n’utilisez pas Gmail, mais un serveur Exchange, vous pouvez créer une règle qui va simplement automatiquement mettre en spam, les émetteurs non-fiables.
Si vous utilisez, comme je le recommande, un anti spam Cloud, comme Mailcleaner, vous pouvez définir une règle automatique. Mais normalement Mailcleaner aura déjà fait le ménage.
Cette technique est très simple à mettre en œuvre, et permet d’avoir une bonne délivrabilité (niveau de qualité dans la distribution des emails directement vers les destinataires).
Lors de la mise en place, vous devrez vous assurer de bien déclarer tous vos serveurs d’envoi d’email. Ainsi si votre site web envoi directement des emails, vous devez penser à le déclarer, comme pour votre CRM, etc.
Si vous avez besoin d’aide pour la mise en place, nous pouvons donner tous les éléments nécessaires si le prestataire en charge de votre domaine ne sait pas faire (j’ai encore eu un coup de fil la semaine dernière).
Signer numériquement
Cette technique demande d’avoir un serveur d’email en propre. Par exemple : G Suite, Exchange, PostFix, etc. Le principe est que vous allez réaliser une empreinte de votre email avec une clé privé installer sur votre serveur (celle-ci est unique a chaque emails envoyés).
Votre destinataire pourra vérifier que vous êtes l’émetteur grâce à la partie publique de la clé que vous aurez indiqué dans votre DNS (panneau de direction de votre domaine).
Cette technique permet d’authentifier l’email, ainsi, il ne peut être altéré, ou modifié entre votre envoi et sa réception. En plus, vous avez l’assurance que cette email a été envoyé à l’heure et la date indiqué.
Choisir l’une ou l’autre technique
La signature numérique ne garantit que l’email a bien été émis au sein de votre organisation. Il permet juste de l’authentifier.
Vous l’aurez compris, vous devez au minimum mettre en place la validation de l’émetteur, et si vous le pouvez mettre en place la signature numérique.
Dans G Suite, vous pouvez très facilement paramétrer le 2.
Est-ce vraiment utile ?
La sécurité est l’affaire de tous, ainsi si vous ne sécuriser pas l’envoi de vos emails, vous pouvez infecter vos destinataires. Une personne mal attentionnée peut se faire passer pour vous, et infecter, rançonner le dentinaire. Quelle image il aura de votre société après ?
Si vous avez besoin de conseil sur comment mettre en place cette solution, vous pouvez nous contacter.
La mise en place de la signature des emails, ou de la validation de l’émetteur ne nécessite aucun achat de logiciel complémentaire (attention aux arnaques qui existent). C’est simplement de la configuration.
Crédits des images: Pexels.
Des procédures bien détaillées et qui sont bien structurées également. Je pense que la signature numérique est très crucial car non seulement, elle permet de bien sécurisé l’e-mail mais également de crypté l’adresse et donc la boîte de réception.