Un client vous transfère un message qu'il pense venir de vous. Il lui demande de régler une facture sur un nouveau compte. Vous ne l'avez jamais écrit. Le champ expéditeur affiche votre domaine, mais le message vient d'un serveur inconnu, à l'autre bout du monde.
C'est de l'usurpation d'e-mail. Quelqu'un falsifie l'adresse d'expéditeur pour que les destinataires croient que le message vient de votre marque. La confiance s'effrite vite, et des personnes peuvent être poussées à envoyer de l'argent ou à cliquer sur des liens dangereux. Comprendre l'usurpation, c'est prolonger les schémas de phishing décrits dans comment reconnaître un e-mail de phishing. Voici comment elle fonctionne et ce qui l'arrête.
Qu'est-ce que l'usurpation d'e-mail ?
L'usurpation d'e-mail consiste à envoyer un message avec une fausse adresse d'expéditeur, le plus souvent une adresse qui correspond à un domaine dont vous êtes propriétaire. Le protocole de messagerie a été conçu à une époque de petits réseaux de confiance, si bien que le champ « De » ne prouve pas à lui seul qui a envoyé le message.
Les attaquants exploitent cette faille pour se faire passer pour des banques, des fournisseurs et des marques en croissance. Les clients qui reçoivent un faux message peuvent ensuite ignorer vos vrais messages, même légitimes.
Comment l'usurpation nuit à votre marque
Un faux message peut provoquer des litiges de paiement, une avalanche de demandes au support et des plaintes publiques dont vous n'êtes pas responsable. Les destinataires accusent le nom qu'ils voient dans leur boîte de réception, pas le serveur caché derrière le faux.
Votre réputation d'expéditeur en souffre aussi. Si trop de mauvais messages utilisent votre domaine, les filtres peuvent traiter plus sévèrement tout ce qui vient de vous. La confiance construite grâce à la façon dont un e-mail professionnel crée la confiance s'érode quand n'importe qui peut coller votre adresse sur un message.
Comment protéger votre domaine contre l'usurpation
1. Publier des enregistrements d'authentification
Les enregistrements SPF, DKIM et DMARC indiquent aux serveurs de réception quels messages sont autorisés pour votre domaine. Ils n'arrêtent pas toutes les attaques à eux seuls, mais ils donnent aux fournisseurs de messagerie des règles claires pour traiter les faux. Vous les mettrez en place avec que sont les enregistrements SPF, DKIM et DMARC.
2. N'envoyer que par votre hébergement e-mail
Quand tous vos e-mails sortants passent par les serveurs de votre hébergeur, votre enregistrement SPF reste exact. Des outils quelconques qui envoient « de la part » de votre domaine sans passer par votre hébergeur peuvent casser l'authentification et ouvrir des failles.
3. Surveiller et durcir la politique avec le temps
Commencez par les rapports de surveillance de votre enregistrement DMARC pour voir qui envoie des messages en se réclamant de votre domaine. Durcissez la politique quand vous avez confirmé que les expéditeurs légitimes passent les contrôles. Votre base DNS, vue dans les enregistrements DNS pour un e-mail sur domaine personnalisé, rend cela possible.
L'usurpation ne disparaîtra pas du jour au lendemain, mais l'authentification donne aux serveurs de réception un moyen de rejeter les imposteurs. Associez les enregistrements à la formation de votre équipe, pour que vos collaborateurs et vos clients sachent comment vous communiquez vraiment.
Questions fréquentes
L'usurpation d'e-mail revient-elle à pirater ma messagerie ?
L'usurpation falsifie l'adresse d'expéditeur sans avoir besoin d'accéder à votre boîte de réception. Une messagerie piratée est un autre problème : quelqu'un se connecte à votre place. Dans les deux cas, il faut des mots de passe solides et des enregistrements d'authentification, faciles à gérer quand le domaine et la messagerie sont chez WEMASY via le créateur de site web.
Les clients peuvent-ils voir qu'un e-mail est usurpé ?
La plupart des destinataires ne voient pas les en-têtes techniques sans ouvrir les détails du message. L'authentification aide leur fournisseur de messagerie à bloquer ou à signaler les faux avant leur arrivée. Des règles claires sur les paiements et les contacts, publiées sur votre site, leur offrent une seconde ligne de défense.
Une adresse e-mail sur domaine personnalisé empêche-t-elle l'usurpation toute seule ?
Un domaine personnalisé vous donne la main sur le DNS, mais la protection contre l'usurpation demande des enregistrements d'authentification que vous configurez vous-même. Lisez qu'est-ce qu'une adresse e-mail sur domaine personnalisé pour la marche à suivre, puis ajoutez SPF, DKIM et DMARC.
Les messages marketing peuvent-ils causer des problèmes d'usurpation ?
Tout outil qui envoie au nom de votre domaine doit figurer dans votre enregistrement SPF et signer ses messages en DKIM. Si un outil de campagne manque dans vos enregistrements, vos messages légitimes peuvent échouer aux contrôles, comme les faux.
Que faire si un client signale un faux e-mail venant de mon domaine ?
Remerciez-le, confirmez que vous n'êtes pas l'auteur du message et demandez-lui de transférer les en-têtes si votre hébergeur accepte les signalements d'abus. Consultez vos rapports DMARC pour voir si des serveurs non autorisés utilisent votre domaine.
Quel lien entre usurpation et messages qui finissent en indésirables ?
Quand un domaine envoie un mélange de messages authentifiés et non authentifiés, les filtres ont du mal à lui faire confiance. Le chapitre sur pourquoi les e-mails professionnels finissent en spam explique comment la réputation et l'authentification se recoupent.