a protection des e-mails professionnels en 2026 consiste à placer un filtre devant chaque boîte de réception de votre domaine. Vous dirigez les enregistrements MX du domaine vers une passerelle de filtrage, qui analyse chaque message entrant pour détecter le spam, le phishing, les logiciels malveillants et l'usurpation (spoofing), puis transmet les e-mails sains vers Microsoft 365, Google Workspace, cPanel/WHM ou Exchange. SPF, DKIM et DMARC protègent votre propre domaine contre l'usurpation. iBlockSpam, le service de protection des e-mails de BroadNet, fonctionne de cette manière, à un prix fixe par domaine.
Faits vérifiés auprès de leurs sources le 22 octobre 2026 : le rapport annuel IC3 2025 du FBI, Microsoft Learn, l'aide administrateur Google Workspace, Yahoo Sender Hub, l'annonce de la Microsoft Tech Community pour Outlook.com, l'éditeur RFC (RFC 5321, 6376, 7208, 7489 et 9989) et le site web de iBlockSpam. Chaque chiffre est lié à sa source. Les prix et les limites peuvent changer, veuillez donc consulter les pages en direct avant votre achat.
| Question | Réponse courte |
|---|---|
| Quelle est l'ampleur du problème ? | En 2025, le IC3 du FBI a enregistré 24 768 plaintes pour détournement de messagerie professionnelle avec 3,05 milliards de dollars de pertes déclarées, et 191 561 plaintes pour phishing/usurpation |
| Où se situe le filtrage entrant ? | Au niveau de l'enregistrement MX : le courrier va de l'expéditeur → passerelle de filtrage → votre plateforme de messagerie → boîte de réception |
| Configuration Microsoft 365 | Connecteur entrant partenaire, verrouillé au filtre, avec Enhanced Filtering for Connectors activé |
| Configuration Google Workspace | Ajoutez le filtre en tant que passerelle entrante dans la console d'administration |
| Comment protéger votre propre domaine ? | SPF (RFC 7208), DKIM (RFC 6376) et DMARC (RFC 7489, remplacé par RFC 9989 en mai 2026) |
| Règles pour les expéditeurs de masse | Gmail et Outlook.com exigent SPF, DKIM et DMARC pour les domaines envoyant plus de 5 000 messages par jour ; Yahoo applique la même règle aux expéditeurs de masse sans publier de seuil |
| Prix iBlockSpam | À partir de 12 $ par domaine et par mois, facturé annuellement, avec un nombre illimité de boîtes de réception |
Pourquoi l'e-mail professionnel reste le vecteur principal
Le 2025 Internet Crime Report du FBI a recensé 1 008 597 plaintes et 20,877 milliards de dollars de pertes déclarées. Le phishing/spoofing était le type de crime le plus signalé, avec 191 561 plaintes. La compromission d'e-mails professionnels (BEC) a généré beaucoup moins de plaintes, soit 24 768, mais les pertes déclarées s'élèvent à 3 046 598 558 $, contre 2 770 151 146 $ en 2024. Parmi les types de fraudes facilitées par le cyber, seule la fraude à l'investissement a coûté plus cher aux victimes. Le rapport note également que les entreprises ont déclaré plus de 30 millions de dollars de pertes liées à des escroqueries BEC impliquant l'IA.
Ces chiffres ne couvrent que les plaintes déposées auprès de IC3, ils indiquent donc une tendance plutôt que le coût total. Ils montrent également que ces deux menaces agissent de concert. Le phishing est l'attaque de masse. La BEC est la phase de gain, où un e-mail convaincant provenant d'un « fournisseur » ou d'un « dirigeant » demande à un collaborateur de modifier des coordonnées bancaires ou d'approuver un transfert. IC3 définit le phishing comme des e-mails, SMS et appels téléphoniques non sollicités, ce qui signifie que le même mode opératoire s'applique aussi via SMS. Notre guide sur la défense contre le smishing traite du volet SMS.
Fonctionnement du filtrage entrant : l'enregistrement MX décide
Selon la norme SMTP (RFC 5321), un serveur émetteur recherche les enregistrements MX de votre domaine pour savoir où livrer le courrier. Quel que soit l'endroit vers lequel ces enregistrements pointent, chaque message entrant y passe en premier. Une passerelle de filtrage modifie la route de « expéditeur → votre serveur de messagerie » en « expéditeur → passerelle → votre serveur de messagerie ». La passerelle accepte la connexion, vérifie la réputation et l'authentification de l'expéditeur, analyse les liens et les pièces jointes, puis livre le message, le met en quarantaine ou le rejette.
Vos boîtes de réception ne bougent pas. Les utilisateurs conservent les mêmes applications, mots de passe et dossiers. Deux paramètres sont plus importants que tout le reste. Premièrement, chaque enregistrement MX doit pointer vers la passerelle, car un enregistrement MX de secours oublié qui pointe toujours directement vers votre serveur de messagerie permet aux attaquants de contourner le filtre. Deuxièmement, votre plateforme de messagerie ne doit accepter le courrier internet entrant que de la part de la passerelle. La protection intégrée de Microsoft continue de fonctionner derrière la passerelle, vous offrant ainsi deux couches indépendantes au lieu d'une seule.
Microsoft 365, Google Workspace et cPanel : spécificités des plateformes
Microsoft 365 et Exchange Online
Microsoft documente cette configuration dans Manage mail flow using a third-party cloud service. L'enregistrement MX pointe vers le service de filtrage, et vous créez un connecteur entrant « Partner » qui n'accepte que les e-mails provenant du certificat ou des adresses IP du service. Sans cela, les attaquants peuvent envoyer des messages directement à votre tenant et contourner le filtre. Microsoft « recommande fortement » d'activer le Enhanced Filtering for Connectors, également appelé skip listing. Avec une passerelle en amont, chaque message arrive de l'adresse IP de la passerelle. Le filtrage amélioré (Enhanced Filtering) préserve l'IP source d'origine et les informations de l'expéditeur, de sorte que les contrôles SPF, DKIM, DMARC et anti-spoofing de Microsoft identifient toujours l'expéditeur réel. Microsoft déconseille de simplement contourner le filtrage anti-spam pour les adresses IP de la passerelle, car ces adresses sont souvent partagées entre de nombreux clients.
Google Workspace
Dans Google Workspace, vous enregistrez le filtre en tant que passerelle de courrier entrant dans la console d'administration, listez ses adresses IP et, en option, rejetez tout courrier ne provenant pas de la passerelle. Google précise que Gmail n'applique pas la politique DMARC de l'expéditeur sur les messages arrivant via la passerelle, bien qu'il utilise toujours les résultats d'authentification pour lutter contre le spam et le phishing. Votre passerelle doit donc effectuer ses propres contrôles SPF, DKIM et DMARC.
cPanel/WHM et Exchange sur site
Les serveurs d'hébergement et Exchange auto-gérés suivent la même logique MX. Avant de modifier le DNS, confirmez quel serveur reçoit réellement le courrier pour le domaine. Ensuite, pointez le MX vers la passerelle, configurez la passerelle pour livrer vers votre serveur, et restreignez le SMTP entrant aux adresses de la passerelle lorsque votre configuration le permet. Réduisez le TTL de l'enregistrement MX un jour à l'avance afin que le changement et tout éventuel retour en arrière prennent effet rapidement.
SPF, DKIM et DMARC : protéger votre propre domaine
Le filtrage entrant protège vos utilisateurs. L'authentification de domaine protège tous ceux qui reçoivent un courrier prétendant provenir de votre domaine. Chacune des trois normes prouve un élément différent :
- **SPF** (RFC 7208) publie la liste des serveurs autorisés à envoyer des courriers pour votre domaine. Les contrôles sont limités à 10 mécanismes de requête DNS ; un enregistrement contenant trop d'entrées « include » échouera donc.
- **DKIM** (RFC 6376) ajoute une signature cryptographique que les destinataires vérifient par rapport à une clé publique publiée dans votre DNS. Cela prouve que le domaine signataire a envoyé le message et que celui-ci n'a pas été altéré.
- **DMARC** (RFC 7489) lie SPF ou DKIM au domaine indiqué dans l'adresse From: visible, indique aux destinataires la marche à suivre en cas d'échec d'un message (none, quarantine ou reject), et vous envoie des rapports sur les entités qui usurpent votre domaine.
En mai 2026, l'IETF a publié RFC 9989, la spécification DMARC mise à jour (le projet « DMARCbis »), sur la voie des standards. Elle rend obsolète la RFC 7489, et deux RFC compagnes, 9990 et 9991, couvrent le reporting agrégé et les rapports d'échec. Les enregistrements DMARC existants continuent de fonctionner. La procédure habituelle reste la même : publier p=none, lire les rapports, corriger chaque expéditeur légitime, puis passer à la mise en quarantaine et enfin au rejet.
Domaines similaires, usurpation d'identité et mise en quarantaine
DMARC empêche les attaquants d'utiliser votre domaine exact. Cela ne les empêche pas d'en enregistrer un similaire, avec une lettre modifiée, un tiret ajouté ou une extension différente, et d'envoyer des messages depuis celui-ci avec des SPF et DKIM parfaitement valides. De nombreuses tentatives de BEC fonctionnent ainsi, c'est pourquoi un bon filtre analyse également l'usurpation du nom d'affichage, les nouveaux domaines d'expéditeurs et les domaines similaires au vôtre. Surveiller l'enregistrement de domaines similaires au vôtre vous permet d'être alerté avant qu'un d'entre eux ne commence à envoyer des e-mails.
La mise en quarantaine détermine si les utilisateurs accepteront un filtre. Les e-mails suspects doivent être retenus, et non supprimés, et chaque utilisateur doit pouvoir voir ce qui a été retenu et libérer un message légitime sans avoir à ouvrir un ticket. Les administrateurs ont besoin d'une vue globale au niveau du domaine et de l'historique des messages pour tracer toute plainte concernant des e-mails manquants. Le service de Microsoft, par exemple, envoie par défaut les phishing à haut niveau de confiance directement vers une quarantaine réservée aux administrateurs. Décidez à l'avance qui peut libérer quoi.
Ce que signifient les règles d'expéditeur de Gmail, Yahoo et Outlook.com pour votre domaine
Depuis le 1er février 2024, les directives d'envoi d'e-mails de Google exigent que chaque expéditeur vers des comptes Gmail configure SPF ou DKIM, utilise TLS, dispose de DNS de transfert et de retour valides, et maintienne le taux de spam rapporté dans Postmaster Tools en dessous de 0,3 %. Les expéditeurs de plus de 5 000 messages par jour doivent également disposer de SPF, DKIM et DMARC, avec un domaine From: aligné, et proposer une désinscription en un clic pour les e-mails marketing. La politique Sender Hub de Yahoo établit la même base : SPF ou DKIM pour tous, les deux plus DMARC d'au moins p=none pour les expéditeurs de masse, un taux de spam inférieur à 0,3 %, et des désinscriptions respectées sous 2 jours. Yahoo précise qu'il ne publie pas de seuil de volume pour définir qui est considéré comme un expéditeur de masse.
Microsoft a suivi cette démarche pour les adresses grand public de Outlook.com (hotmail.com, live.com, outlook.com). Son annonce d'avril 2025 exige que les domaines envoyant plus de 5 000 e-mails par jour passent les tests SPF et DKIM et publient un DMARC d'au moins p=none, aligné avec SPF ou DKIM. À partir du 5 mai 2025, les e-mails non conformes seront rejetés avec l'erreur "550; 5.7.515 Access denied". Pour une entreprise type, cela a deux conséquences. Chaque plateforme qui envoie en votre nom, comme votre CRM, votre outil de facturation ou votre plateforme marketing, nécessite une authentification alignée. Et une fois que DMARC est appliqué, cela rend également votre domaine beaucoup plus difficile à usurper auprès de vos propres clients. Pour l'envoi transactionnel et marketing, le service d'e-mail de BroadNet gère l'envoi authentifié via SMTP et API.
Checklist : choisir un filtre d'e-mails entrants
- Fonctionne-t-il en amont de votre plateforme (Microsoft 365, Google Workspace, cPanel/WHM, Exchange) en utilisant la méthode documentée du fournisseur, telle qu'un connecteur avec filtrage amélioré (Enhanced Filtering) ou une passerelle entrante ?
- Vérifie-t-il SPF, DKIM et DMARC sur les e-mails entrants eux-mêmes, et détecte-t-il l'usurpation du nom d'affichage et des domaines similaires ?
- Chaque utilisateur dispose-t-il d'une quarantaine personnelle avec des récapitulatifs, ainsi que d'une vue administrateur et d'un historique de messages consultable ?
- Que se passe-t-il si votre serveur de messagerie tombe en panne ? Recherchez une période de mise en attente (spooling) spécifiée.
- La tarification s'effectue-t-elle par utilisateur ou par domaine, et quels sont les volumes de messages et les limites de taille inclus ?
- La configuration enregistre-t-elle vos paramètres DNS actuels et fournit-elle des étapes de retour en arrière, et un système surveille-t-il MX, SPF et DMARC pour détecter toute dérive par la suite ?
- Où les e-mails sont-ils traités, que sont-ils stockés et pour quelle durée ?
- Les conditions de remboursement, d'annulation et les modalités de résiliation sont-elles stipulées avant la signature ?
L'e-mail n'est qu'un seul canal. Si vos clients reçoivent des mots de passe à usage unique ou des alertes par SMS, appliquez la même rigueur. Consultez notre guide des normes de sécurité SMS OTP, et utilisez MobileValidate pour vérifier les numéros de téléphone et les adresses e-mail avant l'envoi.
Comment iBlockSpam s'intègre
iBlockSpam fait partie de la famille de marques BroadNet. Selon sa page de fonctionnement, vous dirigez vos enregistrements MX vers les serveurs de filtrage de iBlockSpam, et chaque message entrant est contrôlé pour détecter le spam, les virus, les logiciels malveillants, le phishing et l'usurpation d'identité avant que les e-mails sains ne soient acheminés vers votre serveur habituel. Les étapes sont : vérifier, configurer, valider et surveiller. Un assistant vous présente les paramètres DNS actuels et nouveaux côte à côte et enregistre les étapes de retour en arrière. iBlockSpam ne modifie pas vos DNS à votre place. Voici ses caractéristiques publiées :
- Compatible avec Microsoft 365, Google Workspace, cPanel/WHM, Exchange et d'autres serveurs de messagerie.
- Quarantaine personnelle pour chaque utilisateur avec résumés programmés, quarantaine administrateur partagée et 30 jours d'historique de messages.
- Si votre serveur de messagerie est hors service, les e-mails sont mis en attente jusqu'à 5 jours et livrés dès que le serveur est de nouveau opérationnel.
- Boîtes aux lettres et alias de domaine illimités. Chaque domaine inclut 100 000 messages entrants par mois, une taille maximale de message de 400 MB et 500 messages de relais sortants avec signature DKIM.
- Surveillance des domaines similaires (Lookalike Domain Watch), suivi des rapports DMARC et alertes de dérive MX/SPF/DMARC (hebdomadaires sur Protect, quotidiennes sur Protect Plus).
- Le courrier est traité aux États-Unis.
Les tarifs s'entendent par domaine, en USD, hors taxes : **Protect** coûte 12 $ par domaine et par mois avec facturation annuelle (144 $ par an) ou 15 $ par mois. **Protect Plus** coûte 19 $ avec facturation annuelle (228 $ par an) ou 24 $ par mois, et ajoute une surveillance quotidienne, un rapport mensuel pour le propriétaire et une session de configuration avec un expert. Il n'y a pas d'essai gratuit. En revanche, le premier abonnement annuel d'un domaine bénéficie d'une garantie de remboursement de 30 jours. Le test gratuit Email Health Check analyse vos sélecteurs MX, SPF, DMARC et les sélecteurs DKIM courants sans compte. L'approche sécurité étendue de BroadNet et son Trust Center présentent les certifications du groupe.
Foire aux questions
Le filtre anti-spam intégré de Microsoft 365 est-il suffisant pour une entreprise ?
Pour certaines organisations, oui. Microsoft 365 inclut une protection anti-spam, anti-malware et anti-phishing pour chaque boîte aux lettres cloud, et elle est activée par défaut. Une passerelle distincte ajoute une couche indépendante en amont, avec sa propre détection, ses quarantaines personnelles, sa mise en attente en cas d'interruption de service et ses contrôles par domaine. Si vous en ajoutez une, suivez la configuration documentée par Microsoft : un connecteur Partenaire sécurisé avec Enhanced Filtering for Connectors activé.
Qu'est-ce qu'un filtre anti-spam de niveau MX ?
Un filtre anti-spam de niveau MX est un service vers lequel pointent les enregistrements MX de votre domaine, ce qui lui permet de recevoir tous les e-mails entrants avant votre serveur de messagerie. Il analyse chaque message pour détecter le spam, le phishing, les malwares et l'usurpation (spoofing), livre les messages sains à votre plateforme actuelle et place les messages suspects en quarantaine. Vos boîtes aux lettres, applications et mots de passe restent inchangés. Seul le chemin emprunté par le courrier pour les atteindre change.
Que signifie Enhanced Filtering for Connectors dans Exchange Online ?
Enhanced Filtering for Connectors, également appelé skip listing, est un paramètre de Microsoft 365 pour les connecteurs entrants qui reçoivent des e-mails d'un service situé en amont de Exchange Online. Il permet d'ignorer l'adresse IP de la passerelle pour identifier l'expéditeur d'origine, afin que les contrôles de SPF, DKIM, DMARC et anti-spoofing de Microsoft évaluent la source réelle. Microsoft recommande vivement son utilisation dès lors que votre enregistrement MX pointe vers un filtre tiers non Microsoft.
Est-ce que SPF, DKIM et DMARC permettent d'arrêter les e-mails de phishing ?
Ils bloquent un type de phishing : les e-mails qui usurpent votre domaine exact. Avec DMARC configuré sur quarantaine ou rejet, les destinataires peuvent bloquer les messages utilisant frauduleusement votre adresse From:. Ils ne bloquent pas les domaines similaires (lookalike domains), les comptes compromis chez de vrais fournisseurs, ou le phishing envoyé depuis des comptes gratuits correctement authentifiés. Pour ces cas, un filtrage entrant, des contrôles d'usurpation et un personnel capable de vérifier les changements de coordonnées de paiement via un second canal sont nécessaires.
Qu'est-ce qui a changé avec les règles d'envoi en masse de Gmail, Yahoo et Outlook.com ?
Depuis février 2024, Gmail (plus de 5 000 messages par jour) et Yahoo (expéditeurs en masse, sans seuil publié) exigent SPF et DKIM, DMARC d'au moins p=none avec alignement, une désinscription en un clic et des taux de spam inférieurs à 0,3 %. Depuis le 5 mai 2025, Outlook.com rejette les e-mails non conformes provenant de domaines à haut volume avec l'erreur 550 5.7.515. Chaque expéditeur doit disposer d'au moins SPF ou DKIM.
Quelle est la différence entre le phishing et le Business Email Compromise (BEC) ?
Le phishing est une catégorie large : des messages non sollicités qui usurpent l'identité d'une organisation de confiance pour voler des identifiants, de l'argent ou des données. Le Business Email Compromise est une fraude ciblée contre les entreprises qui paient des fournisseurs ou effectuent des virements, utilisant un compte e-mail compromis ou usurpé pour détourner des paiements. Le rapport IC3 de 2025 du FBI a enregistré 191 561 plaintes pour phishing/spoofing et 24 768 plaintes pour BEC, représentant 3,05 milliards $ de pertes en BEC.
Un filtre anti-spam peut-il bloquer des messages légitimes ?
Tout filtre peut commettre une erreur d'interprétation, c'est pourquoi la sécurité repose sur la quarantaine plutôt que sur la suppression. Recherchez une quarantaine personnelle avec des récapitulatifs réguliers pour que les utilisateurs puissent eux-mêmes libérer un message retenu, une quarantaine administrateur partagée, des listes d'expéditeurs approuvés pour les contacts connus, et un historique des messages pour tracer les événements. iBlockSpam, par exemple, propose chacune de ces fonctionnalités et conserve un historique des messages pendant 30 jours.
Combien coûte iBlockSpam ?
iBlockSpam est tarifé par domaine avec un nombre illimité de boîtes mail. L'offre Protect coûte 12 $ par domaine et par mois avec facturation annuelle (144 $ par an) ou 15 $ par mois. L'offre Protect Plus coûte 19 $ avec facturation annuelle (228 $ par an) ou 24 $ par mois, et inclut une surveillance DNS quotidienne, un rapport mensuel pour le propriétaire ainsi qu'une session de configuration avec un expert. Les prix sont en USD hors taxes. Il n'y a pas d'essai gratuit, mais les premières souscriptions annuelles bénéficient d'une garantie satisfait ou remboursé de 30 jours.
Prêt à évaluer l'état de votre domaine ? Effectuez l'analyse gratuite Email Health Check sur iBlockSpam, puis comparez les forfaits Protect et Protect Plus. La configuration nécessite un changement de MX ainsi que des étapes guidées sur la plateforme, et vos boîtes mail restent là où elles sont.