Accueil › Blog › Cybersécurité

Sécuriser sa messagerie professionnelle : SPF, DKIM, DMARC et hameçonnage

Cybersécurité 18 août 2026 · Lecture : 8 min · Par WARNA

La messagerie reste la porte d'entrée principale des attaques — et le canal favori de la fraude au virement. Le point que beaucoup ignorent : sans configuration particulière, n'importe qui peut envoyer un mail qui semble venir de votre domaine. Trois enregistrements DNS suffisent à fermer cette porte.

Le problème : l'expéditeur n'est pas vérifié par défaut

Le protocole d'envoi de courriel n'a jamais prévu de vérifier l'identité de l'expéditeur. Écrire « comptabilite@votre-entreprise.ma » dans le champ d'expédition est aussi simple qu'écrire n'importe quel nom au dos d'une enveloppe.

C'est exactement le mécanisme de la fraude au virement : un fournisseur — ou un dirigeant — semble écrire pour signaler un changement de RIB. Le message paraît légitime, l'adresse est la bonne, et le virement part. SPF, DKIM et DMARC servent précisément à rendre cette usurpation beaucoup plus difficile.

Les trois enregistrements, expliqués simplement

SPF — qui a le droit d'envoyer pour vous

C'est un enregistrement DNS qui liste les serveurs autorisés à envoyer des messages au nom de votre domaine : votre hébergeur de messagerie, votre outil d'emailing, votre ERP qui envoie les factures. Le serveur qui reçoit votre mail vérifie que l'expéditeur figure bien dans cette liste.

Pensez à recenser toutes vos sources d'envoi. Un SPF incomplet fait tomber en spam les mails légitimes de votre logiciel de facturation — cause fréquente des « nos clients ne reçoivent pas nos factures ».

DKIM — la signature qui prouve l'origine

DKIM ajoute à chaque message une signature cryptographique, vérifiable grâce à une clé publiée dans votre DNS. Elle atteste que le message vient bien de votre domaine et qu'il n'a pas été modifié en route. Là où SPF valide le serveur, DKIM valide le message lui-même.

DMARC — la règle et les rapports

DMARC s'appuie sur les deux précédents et répond à la question : que faire d'un message qui échoue aux vérifications ? Trois politiques possibles :

• none — on ne bloque rien, mais on reçoit des rapports. C'est le point de départ obligatoire, pour observer sans rien casser.
• quarantine — les messages suspects partent en indésirables.
• reject — ils sont refusés. C'est l'objectif final : personne ne peut plus usurper votre domaine.

La bonne méthode est progressive : publier DMARC en none, lire les rapports pendant quelques semaines pour identifier toutes vos sources d'envoi légitimes, corriger, puis durcir vers quarantine et enfin reject. Passer directement en reject sur un domaine mal inventorié bloque les mails de vos propres services.

Ce que ces trois réglages ne font pas

Ils empêchent l'usurpation de votre domaine. Ils ne protègent pas contre :

• Les domaines ressemblants — un attaquant enregistre une variante de votre nom, avec une lettre en moins ou un tiret en plus. Techniquement, ce domaine lui appartient : SPF et DMARC ne s'y appliquent pas.
• Les comptes réellement compromis — si le mot de passe d'un collaborateur est volé, le mail part depuis votre serveur, parfaitement authentifié.
• Les pièces jointes malveillantes — c'est le rôle du filtrage et de la protection des postes.

Les mesures complémentaires indispensables

La double authentification (MFA)

C'est la mesure la plus rentable de toute la sécurité informatique. Un mot de passe volé ne suffit plus à accéder à la boîte mail. Activez-la pour tout le monde, en commençant par la direction, la comptabilité et les RH — les cibles prioritaires.

Une procédure pour les changements de RIB

Aucune mesure technique ne remplace une règle simple : tout changement de coordonnées bancaires est vérifié par téléphone, à un numéro déjà connu — jamais à celui indiqué dans le mail. Cette règle écrite, connue de tous et appliquée sans exception, arrête la majorité des fraudes au virement.

Une bannière sur les mails externes

Ajouter un bandeau « message provenant de l'extérieur » sur les courriels entrants coûte quelques minutes de configuration et aide les équipes à repérer un message qui prétend venir d'un collègue.

Sensibiliser, sans culpabiliser

Une session courte, avec des exemples réels reçus dans l'entreprise, vaut mieux qu'un long support théorique. L'objectif n'est pas que personne ne clique jamais — c'est que la personne qui a cliqué le signale immédiatement, sans crainte d'être blâmée. Les minutes gagnées changent tout.

Et l'archivage des messages ?

Deux points sont souvent découverts trop tard. D'abord, la messagerie hébergée n'est pas une sauvegarde : voir notre article sur les licences Microsoft 365, où nous détaillons ce partage de responsabilité. Ensuite, les courriels contiennent des données personnelles de vos clients et salariés — leur conservation relève des mêmes obligations que le reste de vos traitements (loi 09-08).

Comment WARNA vous accompagne

Nous auditons et configurons la sécurité de votre messagerie, quelle que soit la plateforme — Microsoft 365, Google Workspace ou une messagerie hébergée : recensement des sources d'envoi, publication de SPF, DKIM et DMARC, montée progressive de la politique, activation de la double authentification et mise en place du filtrage. Le tout s'inscrit dans une approche plus large de la cybersécurité.

En résumé

Publiez SPF, DKIM et DMARC, et faites monter la politique DMARC par étapes jusqu'à reject. Activez la double authentification partout. Écrivez une procédure de vérification téléphonique pour tout changement de RIB. Et créez les conditions pour qu'un collaborateur signale une erreur sans hésiter. Ces quatre mesures coûtent peu et couvrent l'essentiel du risque — voir aussi nos 7 mesures de cybersécurité pour les PME.

← Tous les articles  ·  Solutions Cybersécurité  ·  Accueil WARNA