Nous envoyons et recevons des messages presque tous les jours, sans trop penser à leur fonctionnement ni à la sécurité du processus. Cependant, choisir un mauvais protocole de messagerie peut entraîner des problèmes allant d’un espace de stockage limité sur votre ordinateur à des fuites de données, en passant par la perte de confiance des clients ou le blocage de domaines.
Ce guide explique le fonctionnement des protocoles de messagerie, détaille la différence essentielle entre fonctionnalité et sécurité, et propose une check-list pour les PME.
Un glossaire rapide de la messagerie
La terminologie entourant les messages est très similaire, mais les distinctions sont importantes. Voici ce dont nous allons parler dans ce guide :
Client de messagerie : le logiciel ou l’application que vous utilisez pour lire, rédiger et gérer vos messages, comme Outlook, Apple Mail et Proton Mail.
Protocole de messagerie : l’ensemble de règles qui régit la manière dont les messages sont transmis, reçus et stockés sur Internet. Les protocoles de base comme SMTP, IMAP et POP3 gèrent le transfert mécanique des messages entre les serveurs et les clients.
Protocole de sécurité des messages : une couche de protection de normes qui se superpose aux protocoles de messagerie de base pour garantir le respect de la vie privée et l’intégrité des données. Ceux-ci comprennent des méthodes de chiffrement comme TLS (pour le transit) et S/MIME ou PGP (pour le contenu de bout en bout), ainsi que des mécanismes pour détecter les logiciels malveillants ou les indésirables/spams.
L’authentification des messages : le processus consistant à vérifier qu’un message provient réellement du domaine qu’il prétend représenter. Elle s’appuie sur le trio SPF, DKIM et DMARC pour indiquer aux serveurs de réception s’ils doivent approuver, signaler ou rejeter un message, évitant ainsi l’usurpation d’adresse e-mail (spoofing) et l’ hameçonnage.
Outil d’e-mail marketing : une plateforme conçue pour créer, envoyer et suivre des campagnes de messages en masse, comme Mailchimp, HubSpot ou SendGrid. Ces outils utilisent le protocole SMTP pour distribuer les messages et dépendent fortement d’une authentification correcte des messages pour garantir des taux de délivrabilité élevés.
Explication des protocoles de messagerie
1. Simple Mail Transfer Protocol (SMTP)
Ce que c’est : le protocole standard pour l’envoi de messages. Le protocole SMTP gère le transfert de votre client de messagerie vers le serveur, et entre les serveurs.
Comment ça fonctionne : votre client de messagerie se connecte à un serveur SMTP, s’authentifie et lui remet le message. Le serveur l’achemine ensuite vers le domaine du destinataire. Il n’est pas possible d’envoyer un message sans SMTP.
Note sur la sécurité : le protocole SMTP standard envoie les données en texte brut. Sans chiffrement (STARTTLS), les données professionnelles sensibles peuvent être interceptées.
2. Internet Message Access Protocol (IMAP)
Ce que c’est : la norme moderne pour la réception et la gestion des messages. Le protocole IMAP conserve les messages sur le serveur et les synchronise sur tous vos appareils.
Comment ça fonctionne : lorsque vous consultez vos messages sur votre téléphone, votre ordinateur portable ou votre tablette, le protocole IMAP récupère le dernier état auprès du serveur central. Comme le message est stocké sur le serveur, si un ordinateur portable est perdu, l’historique des messages reste en sécurité. De même, la suppression d’un message sur un appareil le supprime partout.
Note sur la sécurité : comme les données résident sur le serveur, une authentification et un chiffrement forts sont non négociables.
3. Post Office Protocol v3 (POP3)
Ce que c’est : un protocole plus ancien qui télécharge les messages sur un seul appareil et les supprime généralement du serveur.
Comment ça fonctionne : le client de messagerie se connecte, télécharge tous les nouveaux messages et se déconnecte. Le serveur est alors vidé. Ce protocole est rarement recommandé pour les entreprises modernes ; il crée des silos de données (si votre appareil tombe en panne, votre historique de messages est perdu), et comme tous les messages sont téléchargés sur votre appareil, cela peut créer des problèmes d’espace de stockage sur votre ordinateur.
Note sur la sécurité : l’absence de redondance côté serveur le rend vulnérable aux pannes matérielles et au vol. Ce protocole à haut risque n’est pas recommandé, en particulier pour les entreprises.
Lire la suite : Que sont les protocoles SMTP, IMAP et POP3 ?
Les protocoles SMTP et IMAP répondent à des objectifs opposés, mais une configuration de messagerie fonctionnelle nécessite les deux protocoles. Le protocole SMTP envoie les messages, tandis que le protocole IMAP récupère les messages entrants. La plupart des fournisseurs de messagerie électronique modernes masquent cette complexité, et le logiciel configure automatiquement les paramètres SMTP et IMAP en arrière-plan. Vous devez rarement vous soucier de celui que vous utilisez, le logiciel gérant simplement les deux simultanément.
Protocoles de sécurité des messages
Les protocoles de messagerie déplacent et stockent les messages, mais les protocoles de sécurité des messages sont les systèmes qui protègent les messages, les expéditeurs et les destinataires. Ils se divisent en deux catégories : ceux qui chiffrent les données pour préserver leur confidentialité, et ceux qui authentifient les expéditeurs pour prouver leur identité.
Protocoles de chiffrement
Transport Layer Security (TLS) : chiffre la connexion entre les serveurs de messagerie lorsque les messages transitent sur Internet. La plupart des fournisseurs de messagerie électronique modernes imposent le protocole TLS par défaut.
STARTTLS : une commande qui fait passer une connexion non chiffrée existante à une connexion TLS sécurisée. Si l’autre partie ne la prend pas en charge, la connexion repasse en texte brut, ce qui représente une vulnérabilité potentielle.
Secure/Multipurpose Internet Mail Extensions (S/MIME) : fournit un chiffrement de bout en bout et des signatures numériques au niveau du message. Il nécessite que l’expéditeur et le destinataire échangent des certificats numériques, ce qui le rend plus courant dans les environnements d’entreprise.
Pretty Good Privacy (PGP) / GNU Privacy Guard (GPG) : une autre méthode de chiffrement de bout en bout et de signature numérique qui offre un haut niveau de respect de la vie privée. Au lieu de certificats, PGP utilise un modèle de réseau de confiance (« web of trust ») dans lequel les utilisateurs échangent directement des clés publiques.
Protocoles d’authentification
Sender Policy Framework (SPF) : permet au propriétaire d’un domaine de publier une liste d’adresses IP autorisées à envoyer des messages au nom de ce domaine. Lorsqu’un serveur de réception reçoit un message, il vérifie l’adresse IP de l’expéditeur par rapport à cette liste. Si l’adresse IP n’y figure pas, le message échoue au contrôle SPF.
DomainKeys Identified Mail (DKIM) : ajoute une signature cryptographique à chaque message sortant, liée au domaine d’envoi. Le serveur de réception vérifie cette signature par rapport à une clé publique publiée dans les enregistrements DNS de l’expéditeur.
Domain-based Message Authentication, Reporting, and Conformance (DMARC) : lie SPF et DKIM et donne aux propriétaires de domaines le contrôle sur ce qui se passe en cas d’échec de l’authentification. Grâce à une politique DMARC, vous pouvez demander aux serveurs de réception d’accepter, de mettre en quarantaine ou de rejeter les messages ayant échoué, et vous recevez des rapports montrant qui tente d’envoyer des messages non autorisés depuis votre domaine.
Pourquoi c’est important pour les PME
Sans protocoles de sécurité superposés à vos protocoles de base, vous vous exposez aux risques suivants :
- Usurpation d’adresse e-mail (spoofing) : des attaquants peuvent facilement usurper l’identité de votre domaine pour escroquer vos clients
- Interception : un trafic non chiffré permet à des pirates de lire les messages en transit
- Mise sur liste noire : une mauvaise authentification conduit à ce que votre domaine soit signalé comme contenant des indésirables/spams
Ensemble, ces protocoles de sécurité des messages créent une défense multicouche : le chiffrement protège le contenu des regards indiscrets et l’authentification garantit que le message provient réellement de la personne qu’il prétend être.
Comment les protocoles influencent le succès du marketing par e-mail
Pour les PME, le marketing par e-mail présente une particularité : vous n’êtes peut-être pas celui qui envoie les messages. Selon que vous utilisez un outil de marketing ou que vous menez vous-même vos campagnes, vos responsabilités en matière de sécurité diffèrent.
Si vous utilisez un outil de marketing
Les plateformes comme Mailchimp, HubSpot et SendGrid gèrent l’infrastructure d’envoi, y compris les serveurs SMTP et le chiffrement. Mais elles ne peuvent pas authentifier votre domaine en votre nom. Cette partie vous incombe.
Lorsqu’un outil de marketing envoie un message en utilisant votre domaine, par exemple newsletter@votreentreprise.com, le serveur du destinataire vérifie tout de même les enregistrements d’authentification de votre domaine :
- SPF : doit inclure les IP d’envoi de l’outil de marketing pour que le serveur du destinataire sache qu’il est autorisé à envoyer des messages en votre nom.
- DKIM : l’outil de marketing signe le message avec une clé cryptographique, mais vous devez publier la clé publique correspondante dans vos enregistrements DNS afin que le destinataire puisse la vérifier.
- DMARC : indique aux serveurs de réception ce qu’il faut faire si SPF ou DKIM échoue, et vous envoie des rapports pour vous permettre de surveiller toute utilisation non autorisée de votre domaine.
La plupart des outils de marketing réputés vous guident à travers cette configuration DNS lors de votre inscription. Si le vôtre ne le fait pas, c’est un signal d’alarme.
Si vous menez votre propre campagne
L’envoi de messages en masse à partir de votre propre serveur SMTP vous attribue l’entière responsabilité. Vous devez :
- Configurer votre serveur SMTP pour utiliser TLS/STARTTLS pour une transmission chiffrée
- Configurer les enregistrements SPF, DKIM et DMARC pour votre domaine
- Surveiller la réputation de votre expéditeur — les serveurs SMTP partagés ou mal gérés sont une cause fréquente de mise sur liste noire
- Commencer avec un faible volume d’envoi et l’augmenter lentement au fil du temps pour instaurer la confiance avec les fournisseurs de boîtes de réception
Cette approche vous donne plus de contrôle, mais nécessite beaucoup plus d’expertise technique et une maintenance continue. Pour la plupart des PME, un outil de marketing réputé est la voie la plus sûre et la plus simple.
Propriété des données et continuité de l’activité
Pour une PME, la messagerie ne sert pas uniquement à communiquer ; c’est un registre des transactions, des accords et des relations avec les clients.
Le piège du POP3 : si votre équipe utilise POP3 et que l’ordinateur portable d’un employé tombe en panne, vous risquez de perdre définitivement des années de correspondance, car les données n’ont jamais été enregistrées sur le serveur.
L’avantage de l’IMAP : en conservant les messages sur le serveur, vous garantissez que les données survivent aux pannes matérielles et au roulement du personnel. Cela permet également aux administrateurs d’archiver et de rechercher les communications dans le cadre d’audits de conformité.
Même si le POP3 semble plus économique ou plus simple, le risque de perdre des données professionnelles critiques fait de l’IMAP l’option la plus sûre pour une entreprise en pleine croissance.
Une check-list de sécurité des protocoles de messagerie pour les PME
Prêt à sécuriser votre infrastructure de messagerie ? Suivez ce guide étape par étape :
- Auditez votre configuration actuelle :
- Utilisez-vous TLS/STARTTLS pour toutes les connexions ? (Vérifiez les paramètres de votre fournisseur).
- Utilisez-vous encore POP3 ? Si oui, planifiez immédiatement une migration vers IMAP.
- Implémentez les enregistrements d’authentification :
- Connectez-vous à votre fournisseur DNS.
- Ajoutez votre enregistrement SPF (incluez toutes les IP d’envoi autorisées).
- Générez et publiez votre clé DKIM.
- Configurez une politique DMARC (commencez par la surveillance).
- Sécurisez vos outils marketing :
- Assurez-vous que votre plateforme d’e-mail marketing est configurée pour envoyer des messages via votre domaine de messagerie personnalisé, et non via un sous-domaine générique.
- Vérifiez que votre domaine passe avec succès les trois contrôles d’authentification avant d’envoyer des campagnes en masse.
- Testez et surveillez :
- Envoyez des messages de test à Gmail, Outlook et Yahoo.
- Consultez les en-têtes des messages pour confirmer que l’authentification a réussi.
- Abonnez-vous aux rapports globaux DMARC pour surveiller toute utilisation non autorisée.
N’attendez pas une fuite de données ou un événement de mise sur liste noire pour auditer votre infrastructure de messagerie. Commencez par la check-list ci-dessus et construisez un système qui soutient la croissance de votre entreprise en toute sécurité.
Besoin d’aide pour implémenter le chiffrement de bout en bout ou pour sécuriser votre messagerie professionnelle ? Découvrez les solutions professionnelles de Proton pour un respect de la vie privée et une sécurité de niveau entreprise.
