Messagerie sécurisée pour entreprise : réglages minimum (2026)

Votre boîte de réception n’est pas seulement l’endroit où vous travaillez : c’est la clé maîtresse de tout le reste. Réinitialiser le mot de passe bancaire ? E-mail. Réinitialiser le CRM ? E-mail. Récupérer le compte d’infrastructure cloud ? E-mail. Si un attaquant contrôle une boîte de réception, il peut finir par contrôler toute l’entreprise.

La mauvaise nouvelle : beaucoup d’entreprises qui utilisent une messagerie professionnelle ont au moins la moitié des réglages ci-dessous mal configurés ou complètement absents. La bonne nouvelle : les corriger ne nécessite ni équipe de sécurité ni contrat d’entreprise à $50,000. Il faut environ deux heures et la volonté de s’en occuper réellement.

Voici le socle de référence. Pas l’objectif idéal à long terme, mais le minimum. Si vous ne pouvez pas cocher toutes les cases de cette liste, vous restez exposé.

Comment les entreprises sont réellement compromises

Oubliez les acteurs étatiques et les failles zero-day. À moins de développer un projet confidentiel, il est peu probable que quelqu’un emploie une attaque sophistiquée contre vous. Les trois risques associés à 90% des incidents de messagerie des PME sont désespérément ordinaires.

Bourrage d’identifiants : Les attaquants achètent des bases de mots de passe divulguées, comme LinkedIn 2012, Adobe 2013 et l’une des nombreuses fuites survenues depuis, puis lancent des scripts contre votre serveur de messagerie. Si votre mot de passe figurait dans l’une de ces bases et que vous ne l’avez pas changé, ils peuvent entrer. Aucun piratage technique n’est nécessaire.

Règles de transfert silencieuses : Une fois à l’intérieur, un attaquant avisé ne met pas tout à sac. Il crée une règle discrète : « Si l’objet contient “facture” ou “virement”, envoyer une copie à attacker@gmail.com et marquer comme lu ». Il observe ensuite pendant des mois. Lorsque vous vous en rendez compte, il a peut-être déjà intercepté un paiement.

Usurpation : Quelqu’un écrit à votre comptable depuis ceo@yourcompany.com pour demander un virement urgent. Le message semble légitime. Si votre DNS n’est pas correctement configuré, le serveur destinataire ne peut pas savoir que l’e-mail est faux et risque même de ne pas le signaler.

Ces trois risques peuvent être réduits. Voici comment.

Messagerie sécurisée pour entreprise : socle de sécurité des comptes

C’est votre périmètre. Si cette couche échoue, aucun réglage DNS ne peut vous protéger à lui seul.

1. Imposez une MFA résistante au phishing, sans exception

Les mots de passe ne suffisent pas à assurer la sécurité. Ils servent à identifier. Un mot de passe seul indique qu’une personne connaît une suite de caractères, pas qu’elle est réellement votre employé. L’authentification multifacteur apporte la vérification supplémentaire.

Utilisez une application d’authentification (Google Authenticator, Microsoft Authenticator, Authy) ou une clé de sécurité physique (YubiKey). Les deux conviennent. En revanche, évitez de faire de la 2FA par SMS votre méthode principale. Elle fonctionne, mais reste vulnérable au détournement de carte SIM, où un attaquant manipule votre opérateur afin de transférer votre numéro sur son appareil. Ne l’utilisez qu’en solution de secours.

Imposez la MFA au niveau de l’administration. Ne la rendez pas facultative. Un seul utilisateur qui s’en dispense peut devenir votre maillon faible.

TrekMail prend en charge la 2FA sur tous les comptes administrateur. Activez-la dans les paramètres de sécurité du compte. Consultez la procédure complète dans le guide de l’authentification à deux facteurs.

2. Désactivez immédiatement l’authentification héritée

Elle reste l’une des vulnérabilités les plus négligées en 2026. L’« authentification héritée » désigne des protocoles comme SMTP AUTH basique qui ne prennent pas en charge les flux MFA modernes. Ils demandent uniquement un nom d’utilisateur et un mot de passe.

Le problème est le suivant : même si vous avez activé la 2FA sur chaque compte, un attaquant peut éventuellement la contourner complètement en se connectant par un protocole hérité. Votre nouvelle configuration MFA ne sert à rien face à un client qui ne demande jamais de second facteur.

Bloquez l’authentification héritée dans toute l’organisation. Seule exception : si une imprimante, un scanner ou un ancien appareil doit envoyer des e-mails, isolez-le. Attribuez-lui un compte de service dédié, protégé par un mot de passe long, complexe et renouvelé. Ne laissez pas les comptes utilisateur ordinaires exposés aux anciens protocoles simplement parce que le photocopieur doit envoyer des documents numérisés.

Remarque : TrekMail ne prend volontairement pas en charge POP3. Ce choix d’architecture vise à éviter le stockage uniquement local des e-mails, impossible à récupérer en cas de perte d’un appareil. IMAP est pris en charge et obligatoire pour toutes les connexions clientes.

3. Ne partagez pas les identifiants

Le compte info@company.com partagé entre trois personnes qui s’envoient le mot de passe par message n’est pas un désagrément mineur : c’est un incident de sécurité potentiel. Quand quelqu’un part, modifiez-vous le mot de passe ? Généralement non. Savez-vous qui s’est connecté en dernier ? Non.

La solution consiste à utiliser un accès délégué ou des boîtes partagées : chaque utilisateur s’authentifie avec ses propres identifiants et accède au dossier partagé. Vous obtenez une piste d’audit complète, pouvez révoquer les accès séparément et n’avez plus besoin de partager les mots de passe.

Le modèle tarifaire par utilisateur favorise ce problème. Lorsque chaque licence coûte entre $15 et $30 par mois, les équipes commencent à partager des identifiants pour réduire les dépenses. Avec le tarif forfaitaire de TrekMail, fondé sur un volume de stockage commun et non sur le nombre de licences, le prix reste le même pour 5 ou 50 utilisateurs. Donnez à chacun son propre compte. Ne partagez pas les mots de passe pour économiser $6 par mois.

Administration et contrôle des accès

Le compte de secours

Si votre téléphone tombe dans l’océan ou si votre fournisseur d’identité principal subit une panne, il vous faut une voie d’accès qui ne dépende pas de ce qui vient d’échouer. Créez un compte administrateur de récupération réservé au cloud, par exemple admin-recovery@yourdomain.com, avec un mot de passe aléatoire de 30 caractères. Écrivez-le sur papier et placez ce papier dans un coffre-fort physique.

Configurez ensuite une alerte : si ce compte se connecte, tous les autres administrateurs doivent être immédiatement avertis. Il ne devrait presque jamais servir. S’il est utilisé de façon inattendue, il peut y avoir un problème grave.

Séparation des fonctions

Votre compte de messagerie quotidien, celui avec lequel vous naviguez sur le Web, ouvrez des liens et lisez des lettres d’information, ne devrait pas être administrateur global. Si vous ouvrez un lien de phishing alors que vous êtes connecté comme super-administrateur, vous risquez de donner à l’attaquant les clés de tout le système.

Créez un compte administrateur distinct. Connectez-vous à ce compte uniquement pour modifier des paramètres. Pour tout le reste, utilisez un compte standard. Ce n’est pas de la paranoïa : c’est une règle élémentaire d’hygiène opérationnelle que tout administrateur système recommanderait dès le premier jour.

Messagerie sécurisée pour entreprise : socle d’authenticité (SPF, DKIM et DMARC)

Ces trois enregistrements DNS forment la base technique qui freine l’usurpation. Depuis 2024, Google et Yahoo les exigent des expéditeurs de messages en masse, et ils sont de plus en plus attendus pour toute messagerie professionnelle. Si vous ne les avez pas configurés, faites-le maintenant.

Pour approfondir chaque couche, le guide de configuration de la messagerie sur un domaine décrit toute la séquence de mise en œuvre.

SPF : la liste des expéditeurs autorisés

Sender Policy Framework est un enregistrement TXT du DNS qui répertorie explicitement les adresses IP autorisées à envoyer des e-mails pour votre domaine. Tout serveur absent de la liste échoue au contrôle.

v=spf1 include:_spf.trekmail.net -all

Deux points doivent être correctement configurés :

Premièrement, terminez par -all (échec strict), et non par ~all (échec souple). Un échec souple revient à dire : « Je ne sais pas vraiment qui envoie mes e-mails, alors laissez-les peut-être passer ». Ce n’est pas une politique de sécurité, mais une invitation. Utilisez l’échec strict après avoir confirmé vos expéditeurs légitimes.

Deuxièmement, SPF impose une limite de 10 recherches DNS. Si vous incluez Google Workspace, Mailchimp, Salesforce et Zendesk dans le même enregistrement, vous risquez de la dépasser et SPF cessera de fonctionner sans avertissement. Utilisez un outil d’aplatissement SPF si vous jonglez avec plusieurs services d’envoi.

DKIM : le sceau qui révèle les altérations

DomainKeys Identified Mail ajoute une signature cryptographique à chaque message sortant. Votre serveur de messagerie, qui détient la clé privée, signe l’e-mail ; le serveur du destinataire le vérifie avec la clé publique que vous avez publiée dans le DNS.

Pourquoi en avez-vous besoin même avec SPF ? Le transfert casse SPF. Lorsqu’un message est transféré, l’adresse IP d’envoi change, donc SPF échoue. DKIM voyage dans les en-têtes du message et reste intact après le transfert. Les deux sont nécessaires.

TrekMail gère automatiquement la génération et la rotation des clés DKIM avec les offres payantes. La clé publique est publiée dans votre DNS et chaque message sortant est signé, sans configuration manuelle. Le guide des enregistrements DNS requis montre précisément ce qui est ajouté et où.

DMARC : la couche d’application de la politique

DMARC indique aux serveurs destinataires la conduite à tenir lorsque SPF ou DKIM échoue. Il vous envoie également des rapports sur les services qui expédient des messages au nom de votre domaine, ce qui permet de découvrir qu’un ancien outil marketing envoie toujours des e-mails en votre nom.

Commencez en mode surveillance. Ne sautez pas cette phase.

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

Cet enregistrement signifie : « Indiquez-moi qui envoie des e-mails en mon nom, mais ne bloquez encore rien ». Collectez les rapports pendant deux à quatre semaines. Auditez chaque source d’envoi. Passez à l’application de la politique uniquement après avoir confirmé que tous les expéditeurs légitimes réussissent l’authentification :

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@yourdomain.com

Puis, à terme :

v=DMARC1; p=reject; rua=mailto:dmarc-reports@yourdomain.com

Si vous passez directement à p=reject sans audit préalable, vous bloquerez vos propres factures, vos propres e-mails marketing et tout autre envoi imparfaitement configuré. Progressez prudemment. La documentation DMARC décrit toute la procédure de déploiement progressif.

Sécurité du transfert et des adresses catch-all

Bloquez le transfert automatique externe

Cette règle peut empêcher l’exfiltration silencieuse décrite plus haut. Configurez votre serveur de messagerie afin d’interdire le transfert automatique vers des domaines externes.

Il existe très peu de raisons professionnelles légitimes pour qu’un employé transfère automatiquement tous ses e-mails d’entreprise vers un compte Gmail personnel. S’il doit y accéder depuis plusieurs endroits, accordez-lui un accès IMAP sur plusieurs appareils : c’est précisément le rôle d’IMAP. Les règles qui copient silencieusement tous les messages vers une adresse externe constituent une fuite de données par conception.

Le problème du catch-all

Une adresse catch-all accepte tout message envoyé à n’importe quelle adresse de votre domaine, même si cette adresse n’existe pas. Cela semble pratique. En réalité, les spammeurs l’adorent. Ils martèlent votre domaine avec des attaques par dictionnaire, par exemple a@yourdomain.com, aa@yourdomain.com et ab@yourdomain.com. Si vous répondez à l’un de ces messages, ou si l’adresse est un piège à spam, votre domaine risque d’être signalé.

Désactivez le catch-all sauf si vous avez un motif opérationnel précis de l’utiliser. Si vous en avez besoin, surveillez-le chaque jour et appliquez un filtrage strict. L’offre Pro de TrekMail prend en charge le routage catch-all externe avec filtrage antispam intégré, mais le guide de configuration du catch-all précise qu’une gestion active est nécessaire et qu’il ne suffit pas de le configurer puis de l’oublier.

Liste de contrôle du socle de sécurité en 12 points

Si vous pouvez cocher toutes les cases ci-dessous, votre protection dépasse celle de nombreuses organisations, y compris des entreprises dotées d’équipes informatiques dédiées qui n’ont simplement jamais terminé ces réglages.

Imprimez cette liste. Intégrez-la à votre procédure d’accueil. Parcourez-la tous les six mois.

Pourquoi le tarif par utilisateur pose un problème de sécurité

Il faut le dire clairement : le tarif par utilisateur, le modèle standard de $6 à $30 par licence, crée une pression financière directe qui pousse à rogner sur la sécurité. Lorsque chaque utilisateur coûte de l’argent, les équipes partagent le mot de passe info@ au lieu de créer des comptes individuels. Les prestataires n’obtiennent pas leurs propres identifiants. Les comptes d’anciens employés restent actifs parce que la migration paraît coûteuse.

Une messagerie sécurisée pour entreprise exige une isolation. Chaque personne doit avoir sa propre identité. Chaque robot de service doit avoir son propre compte. Sans cela, il n’existe pas de piste d’audit fiable.

Le tarif forfaitaire de TrekMail porte sur un volume de stockage commun, pas sur le nombre de personnes. Que vous gériez cinq boîtes ou cinq cents, le tarif ne change pas selon le nombre de licences. Vous pouvez donc attribuer à tous, employés, prestataires et comptes de service, leurs propres identifiants isolés sans rouvrir la discussion budgétaire à chaque arrivée.

Les offres commencent à $3.50 par mois pour un maximum de 50 domaines et 100 utilisateurs par domaine. Pour une équipe de taille habituelle, le calcul donne bien moins d’un dollar par utilisateur. Toutes les offres payantes comprennent un essai gratuit de 14 jours et nécessitent une carte.

Que faire maintenant

Parcourez la liste ci-dessus. Évaluez honnêtement ce qui manque. Beaucoup d’entreprises constatent au moins trois ou quatre lacunes au premier passage. C’est normal et il est possible d’y remédier.

Voici les mesures les plus utiles, classées selon le rapport entre effort et impact :

1. Activez la MFA partout. Faites-le aujourd’hui.
2. Auditez vos rapports DMARC si vous en avez ; commencez à les collecter dans le cas contraire.
3. Vérifiez que votre SPF se termine par -all et ne dépasse pas la limite de recherches.
4. Bloquez le transfert automatique externe au niveau du serveur.
5. Créez le compte de secours avant d’en avoir besoin.

La sécurité ne consiste pas à acheter un produit magique. Elle consiste à configurer correctement le socle et à éviter toute dérive. Configurez le DNS, imposez la MFA et cessez de partager les mots de passe. Cette combinaison peut bloquer la grande majorité des méthodes couramment employées contre les entreprises.

Si vous partez de zéro, TrekMail gère automatiquement la configuration DKIM et SPF à l’aide de l’assistant DNS, bloque POP3 par conception et propose un tarif forfaitaire qui rend financièrement viable une bonne isolation des utilisateurs. Essayez gratuitement pendant 14 jours.