Votre PME est-elle protégée contre l'usurpation d'e-mail ?

Qu'est-ce que SPF, DKIM et DMARC, en termes simples ?

SPF (Sender Policy Framework) indique quels serveurs sont autorisés à envoyer des e-mails pour votre nom de domaine. DKIM (DomainKeys Identified Mail) ajoute une signature numérique qui prouve que le message n'a pas été modifié en chemin. DMARC (Domain-based Message Authentication, Reporting and Conformance) s'appuie sur les deux précédents pour indiquer aux serveurs receveurs quoi faire si un e-mail échoue aux contrôles : l'accepter, le mettre en quarantaine ou le rejeter.

Sans ces trois éléments correctement alignés, n'importe qui peut envoyer un e-mail qui semble provenir de votre adresse, par exemple direction@votreentreprise.ch, sans jamais avoir accès à votre messagerie.

Comment vérifier en 5 minutes si votre domaine est protégé ?

Pas besoin de compétences techniques pour un premier diagnostic. Notre outil de test de sécurité e-mail analyse votre domaine et indique en quelques instants :

• si un enregistrement SPF existe et s'il est correctement formé ;
• si DKIM est actif sur vos serveurs d'envoi ;
• si une politique DMARC est publiée, et son niveau de rigueur (none, quarantine, reject) ;
• les failles qui permettraient à un tiers d'usurper votre domaine.

Pour une PME en Suisse romande, DMARC reste souvent le grand absent de la configuration, même quand SPF et DKIM sont en place. Le test se fait depuis votre navigateur, sans installation, et le résultat est lisible par un dirigeant, pas seulement par un technicien.

Quels signes indiquent que votre domaine est déjà exposé ?

• Des clients ou fournisseurs vous signalent avoir reçu un e-mail suspect « de votre part » que vous n'avez pas envoyé.
• Vous recevez des messages de non-remise (bounce) pour des envois que vous n'avez jamais effectués.
• Aucun enregistrement DMARC n'apparaît lors d'une recherche DNS publique sur votre domaine.
• Vous ne recevez ou ne consultez jamais de rapports DMARC.
• Votre partenaire IT n'a jamais évoqué SPF, DKIM ou DMARC avec vous.

Aucun de ces signes ne prouve, à lui seul, qu'une usurpation est en cours, mais chacun justifie une vérification rapide.

Que faire si le test révèle une faille ?

1. Ne modifiez rien dans l'urgence sans comprendre l'impact : un enregistrement SPF ou DMARC mal écrit peut bloquer vos propres e-mails légitimes.
2. Faites établir un diagnostic complet par un professionnel qui connaît votre infrastructure d'envoi (site web, outil de facturation, CRM, newsletters).
3. Faites publier ou corriger les enregistrements SPF et DKIM pour tous les services qui envoient des e-mails en votre nom.
4. Démarrez DMARC en mode observation (p=none) avant de passer en mode strict (quarantine puis reject), pour éviter de bloquer du trafic légitime.
5. Demandez un suivi régulier des rapports DMARC, qui révèlent les tentatives d'usurpation au fil du temps.

Cette démarche s'inscrit aussi dans vos obligations de protection des données : un e-mail usurpé qui conduit à une fuite d'informations peut constituer un incident à documenter au sens de la nLPD, sous la surveillance du PFPDT.

Ce que nous recommandons à une PME genevoise

1. Lancez le test gratuit sur votre domaine principal et sur tout sous-domaine utilisé pour l'envoi (marketing, facturation, support).
2. Si DMARC est absent ou en mode « none » depuis plusieurs mois, demandez un passage progressif vers « quarantine », avec un suivi des rapports.
3. Vérifiez que tous les outils tiers qui envoient en votre nom (CRM, plateforme d'emailing, logiciel de facturation) sont bien inclus dans votre enregistrement SPF.
4. Sensibilisez vos collaborateurs à reconnaître un e-mail usurpé : la correction technique ne couvre pas tous les scénarios de phishing.
5. Intégrez cette vérification dans un contrôle annuel, au même titre que vos autres mesures de cybersécurité.

À retenir

• Un domaine sans SPF, DKIM et DMARC correctement configurés peut être usurpé par un tiers, sans intrusion dans votre messagerie.
• Un test gratuit en ligne permet de diagnostiquer la situation en quelques minutes, sans expertise technique préalable.
• Corriger ces enregistrements demande de la méthode : inventorier tous les services qui envoient en votre nom avant de durcir la politique DMARC.

Conclusion

Testez dès maintenant votre domaine avec notre outil de test de sécurité e-mail. Si le résultat soulève des questions, nos équipes de services managés et de cybersécurité se tiennent à disposition pour un échange de 15 minutes offert, afin d'évaluer la correction nécessaire.

Questions fréquentes

SPF, DKIM, DMARC : faut-il les trois pour être protégé ?

Oui, les trois se complètent : SPF et DKIM authentifient l'envoi, DMARC indique quoi faire en cas d'échec. Sans DMARC, les deux premiers restent largement inefficaces contre l'usurpation.

Configurer DMARC peut-il bloquer mes propres e-mails ?

Oui si la configuration est mal menée, d'où l'importance de démarrer en mode observation avant de passer en mode strict. Un diagnostic préalable est recommandé avant toute modification.

Le test de sécurité e-mail est-il payant ?

Non, il est gratuit et accessible directement en ligne. Il fournit un premier diagnostic, à approfondir avec un professionnel si une faille est détectée.