Qui envoie des emails à votre place ?

Posez la question à un dirigeant : quels outils envoient des emails au nom de votre entreprise ? Il vous répondra « notre messagerie », puis marquera une pause, puis ajoutera « et la newsletter, je crois ».

La bonne réponse tourne le plus souvent autour de douze.

Cette question paraît anodine. Elle est en réalité le préalable à toute protection sérieuse contre l’usurpation, et c’est aussi la seule à laquelle presque aucune entreprise ne sait répondre.

La liste que personne ne tient

Voici ce qui écrit en votre nom dans une PME ordinaire.

Votre messagerie, Microsoft 365 ou Google Workspace, celle à laquelle tout le monde pense.

Votre outil de facturation, qui envoie les devis et les factures avec votre adresse comptabilité.

Votre CRM, qui expédie les relances commerciales depuis les adresses de vos commerciaux.

Votre plateforme d’emailing, pour la newsletter et les campagnes.

Votre site web, pour les formulaires de contact et les confirmations de commande.

Votre outil de support, qui répond aux tickets.

Votre logiciel de paie ou de ressources humaines, qui distribue les bulletins.

Votre solution de signature électronique, qui envoie les demandes de signature.

Votre outil de prise de rendez-vous, qui confirme et rappelle.

Votre système de sauvegarde ou de supervision, qui alerte l’administrateur.

Le copieur du couloir, qui envoie les documents numérisés par email.

Et enfin, le prestataire dont plus personne ne se souvient, qui continue d’envoyer une campagne trimestrielle depuis une plateforme configurée il y a trois ans par quelqu’un qui a quitté l’entreprise.

Douze entrées, dont trois seulement viennent naturellement à l’esprit.

Pourquoi cette liste n’existe nulle part

Il n’y a ni négligence ni désorganisation là-dedans. Cette liste n’existe pas parce que personne n’a jamais été chargé de la tenir.

Chaque outil a été choisi par le service qui en avait besoin. Le marketing a pris sa plateforme d’emailing, la comptabilité son logiciel de facturation, le commerce son CRM. Chacun a suivi consciencieusement la procédure de configuration du prestataire, qui se termine invariablement par « ajoutez cette ligne dans votre DNS ». Quelqu’un l’a ajoutée. Personne n’a tenu le registre.

L’informatique n’a pas de visibilité sur ces choix, parce qu’ils ne passent pas par elle. C’est ce que l’on appelle l’informatique fantôme, et l’email en est le terrain le plus dense : contrairement à un logiciel, brancher un nouvel expéditeur ne demande ni installation, ni poste, ni budget informatique. Une carte bancaire et cinq minutes suffisent.

Le résultat est une situation étrange. Une douzaine de systèmes détiennent le droit de parler au nom de votre entreprise, et l’entreprise ne sait pas lesquels.

Pourquoi ça devient un problème maintenant

Tant que personne ne cherchait à durcir sa configuration, l’ignorance était sans conséquence.

Deux choses ont changé.

Les grands opérateurs de messagerie ont resserré leurs exigences envers les expéditeurs de volume. Ce qui relevait de la bonne pratique est devenu une condition de délivrabilité.

Et l’usurpation s’est industrialisée. Une facture falsifiée envoyée depuis votre nom de domaine à vos propres clients ne coûte presque rien à produire, et le préjudice de réputation vous revient entièrement.

La protection existe, elle s’appelle DMARC, et elle consiste à demander aux receveurs de rejeter tout message qui n’est pas authentifié à votre nom.

Le blocage est là. Demander le rejet sans connaître ses expéditeurs revient à bloquer ses propres factures. Vous ne pouvez pas protéger un domaine dont vous ne connaissez pas les émetteurs légitimes. C’est pour cette raison que tant d’entreprises publient un enregistrement DMARC en surveillance et n’y touchent plus jamais : elles savent que l’étape suivante est risquée, et elles n’ont aucun moyen de mesurer le risque.

Reconstituer la liste, sans rien installer

La bonne nouvelle, c’est que l’information existe déjà et qu’elle ne vous coûte rien à obtenir.

Chaque opérateur de messagerie qui reçoit vos emails sait exactement quelles adresses IP prétendent écrire en votre nom. Il est même prêt à vous le dire, tous les jours, gratuitement. Il attend seulement que vous lui indiquiez où envoyer le rapport.

C’est le rôle de l’enregistrement DMARC en mode surveillance. Vous publiez une ligne dans votre DNS, une seule, qui dit en substance : « ne bloquez rien, mais racontez-moi ce que vous voyez ». Vingt-quatre à quarante-huit heures plus tard, les rapports commencent à arriver.

Deux points rassurants, parce que la crainte est fréquente.

Une politique en surveillance ne bloque rien et ne trie rien. Elle ne demande aux receveurs aucune action sur vos messages. Elle est sans effet sur votre délivrabilité.

Elle est réversible en quelques minutes. Il s’agit d’un enregistrement DNS, que vous supprimez comme vous l’avez créé.

Au bout de deux semaines, vous avez la liste. C’est en général le moment où l’on découvre quelque chose : l’outil qu’un ancien salarié avait branché, le prestataire encore actif après la fin du contrat, ou une adresse IP à l’étranger que rien ne justifie.

Le prestataire qui envoie en votre nom sans le savoir

Un cas mérite un mot à part, parce qu’il surprend même les administrateurs expérimentés.

Beaucoup de prestataires envoient en votre nom sans en avoir conscience, et sans que vous en ayez conscience non plus. Votre logiciel de prise de rendez-vous envoie les confirmations avec votre adresse en expéditeur. Votre outil de signature électronique aussi. Votre plateforme de recrutement écrit aux candidats en votre nom.

Ces flux sont parfaitement légitimes. Ils sont simplement invisibles, parce qu’ils partent de serveurs qui ne vous appartiennent pas et qui n’apparaissent nulle part dans votre infrastructure.

Ce sont eux qui cassent en premier quand une entreprise durcit sa politique sans inventaire préalable. Et comme ils sont invisibles, personne ne fait le lien : on constate simplement que les candidats ne reçoivent plus rien, trois semaines plus tard.

Que faire de chaque expéditeur une fois identifié

Une fois la liste établie, chaque entrée appelle une décision, et il n’y en a que trois.

C’est légitime et c’est authentifié. Rien à faire, vous le notez comme approuvé.

C’est légitime mais ce n’est pas authentifié. C’est le cas le plus fréquent. Il faut demander au prestataire de signer avec votre domaine, ce qui prend en général la forme de deux ou trois enregistrements à publier dans votre DNS. Tous les prestataires sérieux documentent cette procédure. Le mécanisme en jeu est expliqué dans notre article sur l’alignement.

Ce n’est pas légitime. Soit c’est un outil abandonné, et vous le coupez à la source. Soit c’est une usurpation, et votre future politique de rejet s’en chargera.

La difficulté n’est pas la décision, elle est l’identification. Un rapport DMARC vous donne des adresses IP, pas des noms. Savoir que 54.240.27.118 a envoyé 312 messages ne vous avance à rien. Savoir que c’est votre CRM change tout.

C’est très exactement la différence entre le fichier XML brut et un inventaire lisible.

Questions fréquentes

Comment savoir quels outils envoient des emails avec mon nom de domaine ? En publiant un enregistrement DMARC en mode surveillance. Les opérateurs de messagerie vous envoient ensuite chaque jour la liste des adresses IP qui écrivent en votre nom, sans aucune installation de votre côté.

Est-ce dangereux de publier un enregistrement DMARC en surveillance ? Non. Une politique en surveillance ne demande de bloquer ni de trier aucun message, seulement de vous rendre compte. Elle est sans effet sur votre délivrabilité et réversible en quelques minutes.

Combien d’expéditeurs une PME possède-t-elle en moyenne ? Les premiers rapports arrivent sous vingt-quatre à quarante-huit heures. Comptez deux semaines pour une vue fiable, le temps que les expéditeurs occasionnels se manifestent.

Que faire si je découvre un expéditeur que personne ne reconnaît ? Ne coupez rien avant d’avoir cherché. Un expéditeur non reconnu est plus souvent un outil oublié qu’une attaque, et le couper au jugé revient à casser un flux légitime.

Faut-il un outil pour faire cet inventaire ? Pas nécessairement, mais il faut traduire des adresses IP en noms de prestataires, ce qu’aucun rapport ne fait pour vous. C’est faisable manuellement sur un domaine, laborieux au-delà.

---

Alignmarc reconstitue cet inventaire pour vous et nomme chaque expéditeur au lieu d’afficher des adresses IP. Le premier domaine est gratuit.