Comment stopper les e-mails de phishing dans Microsoft 365 et Google Workspace : paramètres d'administration et quand ajouter une passerelle

Pour stopper les e-mails de phishing dans Microsoft 365, activez les stratégies de sécurité prédéfinies Standard ou Strict, ajoutez à la protection contre l'usurpation les personnes et les domaines que les attaquants sont les plus susceptibles d'imiter, maintenez Safe Links activé et fournissez aux utilisateurs le bouton de signalement intégré. Dans Google Workspace, activez les paramètres avancés de phishing et de malware de Gmail et publiez SPF, DKIM et DMARC. Si trop de messages passent encore, placez une passerelle MX telle que iBlockSpam en amont et verrouillez la livraison directe.

Qu'est-ce qui protège vos boîtes de réception avant que vous ne modifiiez quoi que ce soit ?

Les deux plateformes filtrent déjà les e-mails entrants. La question est de savoir quelles protections supplémentaires votre licence inclut et lesquelles sont désactivées.

Microsoft décrit une échelle de protection en trois étapes dans son aperçu Defender for Office 365. Les fonctionnalités de sécurité intégrées pour toutes les boîtes mail cloud (souvent appelées Exchange Online Protection, ou EOP) bloquent les attaques larges et connues. Le Plan 1 de Defender for Office 365 ajoute la protection contre l'usurpation d'identité, les seuils de phishing, Safe Links et Safe Attachments. Microsoft cite Microsoft 365 Business Premium et Microsoft 365 E3 comme exemples incluant le Plan 1. Le Plan 2 (par exemple dans Microsoft 365 E5) ajoute la formation par simulation d'attaques et l'investigation automatisée.

Dans Google Workspace, les protections se trouvent sous Applications > Google Workspace > Gmail, sur les pages Sécurité et Spam, phishing et logiciels malveillants. Certaines fonctionnalités dépendent de votre édition.

Pour une vision d'ensemble (pourquoi l'e-mail reste le principal vecteur d'entrée et comment fonctionne le routage MX), consultez notre guide de protection de l'e-mail professionnel.

Comment bloquer les e-mails de phishing dans Microsoft 365 ?

Commencez par la configuration de base recommandée par Microsoft, puis ajoutez les protections qui ne sont pas activées par défaut. Travaillez dans le portail Microsoft Defender sur security.microsoft.com.

1. 1Activez une stratégie de sécurité prédéfinie. Allez dans E-mail et collaboration > Stratégies et règles > Stratégies de menace > Stratégies de sécurité prédéfinies. La page des stratégies de sécurité prédéfinies de Microsoft décrit le profil Standard comme une base pour la plupart des utilisateurs et le profil Strict comme un profil plus agressif pour les cibles à haute valeur. La plupart des paramètres sont fixes, et le profil Strict est toujours appliqué en premier, puis Standard, puis toute stratégie personnalisée.
2. 2Ajoutez des personnes et des domaines à la protection contre l'usurpation d'identité. Les préréglages protègent automatiquement vos domaines acceptés, mais vous devez nommer les personnes. Vous pouvez ajouter jusqu'à 350 utilisateurs et 50 domaines personnalisés dans les préréglages Standard ou Strict. Ajoutez les dirigeants, le personnel financier et les fournisseurs clés. Microsoft précise qu'un domaine usurpé (look-alike) peut contourner SPF, DKIM et DMARC, c'est pourquoi cette étape est cruciale.
3. 3Vérifiez le seuil de phishing dans les stratégies personnalisées. Dans les stratégies anti-phishing de Defender for Office 365, le seuil varie de 1 (Standard, par défaut) à 4 (le plus agressif). Des valeurs plus élevées signalent également davantage de messages légitimes.
4. 4Laissez l'intelligence anti-usurpation (spoof intelligence) activée et respectez DMARC. L'intelligence anti-usurpation et l'astuce de sécurité lors du premier contact sont disponibles pour toutes les boîtes mail cloud. Le paramètre Respecter la stratégie d'enregistrement DMARC vous permet de mettre en quarantaine ou de rejeter les e-mails qui ne respectent pas la politique p=quarantine ou p=reject d'un expéditeur.
5. 5Confirmez que Safe Links est actif. Safe Links analyse les URL pendant le flux de messagerie et les vérifie à nouveau lorsqu'un utilisateur clique dessus. Si vous possédez au moins une licence Defender for Office 365, le préréglage de protection intégrée applique Safe Links à toute personne non couverte par une autre stratégie. Laissez l'option Autoriser les utilisateurs à cliquer vers l'URL d'origine désactivée.
6. 6Activez le bouton Signaler. Dans les paramètres de signalement par l'utilisateur, activez le bouton Signaler intégré. Conformément au guide de signalement de Microsoft, les utilisateurs peuvent alors signaler le phishing depuis les applications Outlook compatibles, et les rapports sont envoyés à Microsoft, à une boîte de réception de signalement, ou aux deux.
7. 7Lancez l'analyseur de configuration. L' analyseur de configuration compare vos politiques aux paramètres Standard et Strict et répertorie chaque paramètre plus faible.

Quarantaine Microsoft 365 : ce que les utilisateurs peuvent et ne peuvent pas libérer

Selon l' aperçu de la quarantaine de Microsoft, les logiciels malveillants et le phishing à haut niveau de confiance sont toujours mis en quarantaine, et seuls les administrateurs peuvent les libérer. Par défaut, les utilisateurs peuvent gérer leurs propres détections de spam, de messages en masse, de phishing et d'usurpation (spoofing). Les politiques de quarantaine définissent ce que les utilisateurs peuvent faire et s'ils reçoivent des notifications. Le spam retenu par la politique par défaut expire après 15 jours (réglable de 1 à 30) ; les préréglages le conservent pendant 30 jours. Activez les notifications pour que les e-mails souhaités soient libérés avant leur suppression.

Comment stopper le spam et le phishing dans Google Workspace ?

Dans Gmail, les gains les plus importants proviennent des paramètres de sécurité avancés et de l'authentification de votre propre domaine. Vous avez besoin du privilège administrateur des paramètres Gmail.

1. 1Ouvrez la sécurité Gmail. Allez dans Applications > Google Workspace > Gmail > Sécurité. La page de protection avancée contre le phishing et les logiciels malveillants de Google regroupe les contrôles en trois zones : les pièces jointes, les liens et images externes, ainsi que l'usurpation et l'authentification.
2. 2Activez chaque protection et choisissez une action. L'action par défaut est « Conserver l'e-mail dans la boîte de réception et afficher un avertissement ». Vous pouvez plutôt déplacer l'e-mail vers les courriers indésirables (spam) ou l'envoyer vers une quarantaine d'administrateur où les utilisateurs ne reçoivent aucune notification.
3. 3Cochez « Appliquer automatiquement les paramètres recommandés à l'avenir » dans chaque zone, afin que les nouvelles protections de Google soient activées pour vous.
4. 4Activez l'analyse de messages améliorée avant la livraison. Sous Spam, Phishing et Logiciels malveillants, ce paramètre retarde brièvement les messages suspects pour que Gmail puisse effectuer des vérifications supplémentaires avant la livraison.
5. 5Activez Security Sandbox si votre édition le permet. Security Sandbox ouvre les pièces jointes dans un environnement virtuel. Cette option est désactivée par défaut, peut retarder la livraison jusqu'à 3 minutes, et est disponible pour les éditions Business Standard, Business Plus, Enterprise et Frontline Plus.
6. 6Appliquez les paramètres au niveau de l'organisation parente pour que chaque utilisateur en bénéficie. Les modifications peuvent prendre jusqu'à 24 heures.

L'activation de SPF, DKIM et DMARC sur votre domaine permet-elle d'arrêter le phishing entrant ?

Ils empêchent les attaquants d'envoyer des messages en utilisant votre domaine exact. Ils n'arrêtent pas les domaines similaires (look-alike) ou les comptes externes compromis.

• SPF (RFC 7208) liste les serveurs autorisés à envoyer des messages pour votre domaine. Consultez le guide SPF de Google pour obtenir la valeur Workspace.
• DKIM (RFC 6376) signe chaque message. Dans Google Workspace, générez la clé sous Gmail > Authentifier les e-mails, publiez-la, puis cliquez sur Démarrer l'authentification (le guide DKIM de Google recommande 2048 bits).
• DMARC (RFC 7489) indique aux destinataires la marche à suivre lorsque les deux vérifications échouent. Le guide DMARC de Google préconise d'attendre 48 heures après SPF ou DKIM, de commencer par p=none, puis de passer à quarantine ou reject.

Une passerelle entrante ne modifie pas votre enregistrement SPF. N'ajoutez un service à SPF que si vous envoyez des e-mails sortants via celle-ci.

Quand faut-il ajouter un filtre anti-spam tiers devant Microsoft 365 ou Google Workspace ?

Ajoutez une passerelle lorsque l'ajustement du filtre intégré ne résout plus le problème, ou lorsque vous avez besoin de fonctionnalités qu'il ne propose pas. Il s'agit d'une seconde couche de sécurité, pas d'un remplacement.

Microsoft est transparent sur les compromis. Son guide sur l'intégration de services de sécurité non Microsoft indique que l'ajout de produits entraîne des coûts plus élevés, une complexité accrue et davantage de faux positifs. Il précise également que « la protection totale n'atteint jamais 100 % ». Voici des raisons courantes de déployer tout de même une passerelle :

• Le spam ou le phishing parvient toujours aux boîtes de réception, même après l'application des paramètres Standard ou Strict.
• Votre licence n'inclut pas Defender for Office 365, et les modules complémentaires par utilisateur dépassent votre budget.
• Vous souhaitez une quarantaine unique et un ensemble de règles pour plusieurs domaines ou plateformes de messagerie, tout en offrant une quarantaine personnelle simple à chaque utilisateur.

Microsoft prend pleinement en charge la configuration où MX pointe vers la passerelle et Enhanced Filtering for Connectors est activé. Il recommande d'éviter le routage entrant-sortant, où le courrier quitte Microsoft 365 pour être analysé avant de revenir.

Comment ajouter un filtre de passerelle devant Microsoft 365 ?

Créez un connecteur entrant Partenaire, activez le filtrage amélioré (Enhanced Filtering), déplacez MX, puis verrouillez le tenant pour que seule la passerelle puisse livrer les messages. L'ordre des étapes est crucial.

1. 1Réduisez le TTL de MX à environ 300 secondes une journée avant le changement.
2. 2Créez un connecteur entrant Partenaire dans le centre d'administration Exchange (Flux de courrier > Connecteurs), pour tous les domaines d'expéditeurs (*), nécessitant TLS. Ne configurez pas de restrictions pour le moment.
3. 3Activez Enhanced Filtering for Connectors sur security.microsoft.com/skiplisting. Sans cela, comme l'explique Microsoft, chaque message semble provenir de l'adresse IP de la passerelle, ce qui réduit la précision des contrôles d'usurpation (spoofing). Saisissez les plages d'adresses IP de la passerelle, ou choisissez « Détecter et ignorer automatiquement la dernière adresse IP » pour un saut unique. Un projet pilote sur quelques utilisateurs doit lister chaque adresse de chaque destinataire.
4. 4Modifiez l'enregistrement MX pour utiliser les hôtes de la passerelle. Ne conservez pas le MX de Microsoft comme solution de secours. Selon la section 5.1 de la RFC 5321, les expéditeurs basculent vers d'autres hôtes MX répertoriés, et les spammeurs peuvent cibler directement la solution de secours.
5. 5Verrouillez le connecteur une fois que l'ancien TTL est expiré. Le guide de routage cloud tiers de Microsoft préconise de restreindre le connecteur Partenaire via le certificat TLS de la passerelle (recommandé) ou par les adresses IP. Les e-mails envoyés directement vers votre tenant seront alors rejetés.
6. 6Supprimez toute règle de contournement SCL -1. Microsoft qualifie le SCL -1 d'« entrée pour le filtrage, et non de décision finale » et avertit que le contournement des adresses IP de la passerelle partagée peut laisser passer des e-mails usurpés ou de phishing.
7. 7Désactivez la réécriture de liens dans la passerelle si vous utilisez Safe Links. Microsoft avertit qu'un double encapsulage de liens peut empêcher Safe Links de vérifier les liens.

Le paramètre d'opt-in RejectDirectSend de Microsoft (annonce) bloque également les messages anonymes qui utilisent vos propres domaines comme expéditeur. Déplacez d'abord les scanners et les applications qui utilisent Direct Send.

Comment ajouter un filtre de passerelle devant Google Workspace ?

Dans Gmail, le paramètre clé est Passerelle entrante (Inbound gateway). Il indique à Gmail quelles adresses IP ignorer afin qu'il puisse évaluer le véritable expéditeur.

1. 1Réduisez le TTL de MX un jour à l'avance.
2. 2Activez la Passerelle entrante sous Applications > Google Workspace > Gmail > Spam, Phishing et Malware au niveau de l'organisation principale. Le guide de la passerelle entrante de Google répertorie toutes les options.
3. 3Ajoutez les adresses IP de la passerelle. Seules les adresses IP publiques sont acceptées. Listez chaque passerelle par laquelle l'e-mail transite.
4. 4Sélectionnez « Détecter automatiquement l'IP externe » pour que Gmail utilise l'IP de l'expéditeur d'origine pour SPF.
5. 5Sélectionnez « Exiger TLS pour les connexions » et enregistrez. Laissez l'option « Désactiver l'évaluation du spam par Gmail » décochée, afin que Gmail reste une seconde couche de protection.
6. 6Attendez l'application du paramètre (jusqu'à 24 heures), puis modifiez MX pour pointer vers les hôtes de la passerelle. Ne conservez pas la MX de Google comme solution de secours.
7. 7Sélectionnez « Rejeter tous les e-mails ne provenant pas des IP de la passerelle » une fois que l'ancien TTL a expiré et que les e-mails de test arrivent via la passerelle.

Une limite à connaître : Google précise que « Gmail n'applique pas la politique de DMARC de l'expéditeur pour les messages arrivant de la passerelle entrante. » Votre passerelle doit gérer les contrôles d'usurpation (spoofing) pour ces e-mails.

Avant de tout verrouiller, envoyez un message de test depuis un compte externe et lisez ses en-têtes. Le saut précédant immédiatement Microsoft 365 ou Gmail doit être la passerelle, et SPF doit indiquer l'IP de l'expéditeur d'origine. Pour revenir en arrière, supprimez d'abord le verrouillage, puis redirigez MX dans un second temps, sinon le tenant rejettera les e-mails arrivant directement.

Comment iBlockSpam procède

iBlockSpam est une marque du groupe BroadNet (voir toutes nos marques). Il s'agit d'un filtre entrant qui fonctionne au niveau MX. Vous pointez les enregistrements MX de votre domaine vers ses serveurs de filtrage. Chaque message est contrôlé contre le spam, les virus, les logiciels malveillants, le phishing et l'usurpation. Les e-mails sains sont ensuite transmis vers la plateforme que vous utilisez déjà : Microsoft 365, Google Workspace, cPanel/WHM, Exchange ou un autre serveur. Les boîtes de réception ne sont pas déplacées (fonctionnement).

Voici ce que le site web de iBlockSpam indique à propos du produit :

• Tarification par domaine. Protect coûte 12 $ par domaine et par mois avec facturation annuelle (144 $ par an), ou 15 $ par mois. Protect Plus coûte 19 $ par domaine et par mois avec facturation annuelle (228 $ par an), ou 24 $ par mois. Les prix sur la page des tarifs sont des prix bêta en USD, hors taxes.
• Toutes les boîtes mail incluses. Les boîtes mail et les alias de domaine sur un domaine ne font l'objet d'aucun frais par boîte. Chaque domaine inclut 100 000 messages entrants par mois et une taille maximale de message de 400 MB.
• Une quarantaine personnelle pour chaque utilisateur, avec des e-mails de synthèse toutes les heures, tous les jours, un jour de la semaine au choix ou selon un calendrier personnalisé. Les administrateurs bénéficient également d'une quarantaine de domaine partagée. Consultez la quarantaine et les synthèses.
• Filtres et listes. Filtres géographiques, par type de pièce jointe et macros Microsoft Office, règles de domaine personnalisées, ainsi que des listes d'autorisation et de blocage avec vérification de l'expéditeur.
• Configuration guidée. Un assistant affiche votre configuration DNS actuelle et les nouvelles valeurs côte à côte, et enregistre les étapes de retour en arrière. La page de configuration Microsoft 365 couvre le connecteur Partner, le filtrage avancé (Enhanced Filtering) et le verrouillage du connecteur (connector lockdown). La page de configuration Google Workspace couvre le paramétrage de la passerelle entrante (Inbound gateway).
• Mise en attente en cas d'interruption (Spooling). Si votre serveur de messagerie est hors service, les e-mails sont conservés jusqu'à 5 jours. L'historique des messages est conservé pendant 30 jours.
• Surveillance. Alertes de dérive pour MX, SPF et DMARC (hebdomadaires sur Protect, quotidiennes sur Protect Plus), surveillance des rapports DMARC et surveillance quotidienne des domaines similaires (Lookalike Domain Watch). Protect Plus ajoute un rapport mensuel pour le propriétaire et une session de configuration avec un expert.

Le site précise également les limites. Il n'y a pas d'essai gratuit ; à la place, la première souscription annuelle d'un domaine bénéficie d'une garantie de remboursement de 30 jours. Les frais mensuels ne sont pas remboursables. Le courrier est traité aux États-Unis. Aucun filtre n'est infaillible, donc certains spams passeront et certains messages souhaités pourront être retenus. Lookalike Domain Watch détecte les domaines similaires mais ne peut pas les supprimer. DMARC surveille mais ne bloque pas les e-mails.

Le phishing arrive également par SMS ; consultez notre guide de défense contre le smishing. Pour l'envoi de messages transactionnels, consultez le service d'e-mailing de BroadNet.

Prêt à évaluer l'état de votre domaine ? Lancez le Contrôle de santé e-mail gratuit pour analyser vos enregistrements MX, SPF, DKIM et DMARC, puis comparez les forfaits sur la page des tarifs iBlockSpam et créez votre compte pour démarrer la configuration guidée de Microsoft 365 ou Google Workspace.

Foire aux questions

Quelles sont les politiques de sécurité préréglées Standard et Strict dans Microsoft 365 ?

Il s'agit des profils de protection prêts à l'emploi de Microsoft pour l'e-mail. Le mode Standard constitue une base pour la plupart des utilisateurs. Le mode Strict est plus agressif et convient aux cibles à haute valeur, telles que les cadres et le personnel de la finance. La plupart des paramètres ne peuvent pas être modifiés. Là où Defender for Office 365 est sous licence, elles couvrent également Safe Links, Safe Attachments et la protection contre l'usurpation d'identité. Activez-les dans le portail Microsoft Defender sous Threat policies.

Ai-je besoin de Defender for Office 365 pour stopper le phishing dans Microsoft 365 ?

Pas pour une protection de base. Chaque boîte de réception cloud bénéficie de l'anti-spam, de l'anti-malware, de l'intelligence anti-spoofing et de la quarantaine. La protection contre l'usurpation d'identité, les seuils de phishing, Safe Links et Safe Attachments nécessitent Defender for Office 365 Plan 1 ou Plan 2. Microsoft cite Microsoft 365 Business Premium et E3 comme exemples incluant le Plan 1, et E5 comme exemple incluant le Plan 2. Defender for Office 365 est également vendu en tant qu'add-on.

Pendant combien de temps Microsoft 365 conserve-t-il les e-mails mis en quarantaine ?

Cela dépend de la raison pour laquelle le message a été retenu. Le spam mis en quarantaine par la politique anti-spam par défaut est conservé pendant 15 jours, et les administrateurs peuvent définir une durée de 1 à 30 jours. Les politiques préréglées Standard et Strict les conservent pendant 30 jours. Après la période de rétention, les messages sont définitivement supprimés et ne peuvent pas être récupérés.

Quels paramètres Gmail un administrateur Google Workspace doit-il activer contre le phishing ?

Ouvrez Apps, Google Workspace, Gmail, Safety dans la console d'administration. Activez les protections relatives aux pièces jointes, aux liens et aux images externes, ainsi que les protections contre le spoofing et l'authentification, et cochez Apply future recommended settings automatically. Sous Spam, Phishing and Malware, activez l'analyse améliorée des messages avant livraison, ainsi que Security Sandbox si votre édition le permet. Appliquez les paramètres au niveau de l'organisation pour que chaque utilisateur soit couvert.

Puis-je ajouter un filtre anti-spam tiers à Google Workspace ?

Oui. Ajoutez d'abord les plages d'adresses IP publiques du service de filtrage dans le paramètre Inbound gateway sous Spam, Phishing and Malware, puis sélectionnez Automatically detect external IP et Require TLS. Dirigez ensuite vos enregistrements MX vers le service. Une fois que le flux de messagerie passe par celui-ci, sélectionnez Reject all mail not from gateway IPs. Google n'applique pas la politique DMARC de l'expéditeur pour le courrier provenant de la passerelle, la passerelle doit donc vérifier le spoofing.

Qu'est-ce qui risque de ne plus fonctionner si je verrouille Microsoft 365 pour n'accepter que le courrier provenant d'une passerelle ?

Tout ce qui livre directement vers votre tenant cessera de fonctionner. Cela inclut les scanners, les imprimantes et les applications métiers qui utilisent Direct Send vers l'hôte mail.protection.outlook.com. Basculez-les d'abord vers une soumission SMTP authentifiée ou vers leur propre connecteur. Ne verrouillez le connecteur qu'une fois que le TTL de l'ancien MX a expiré et que les e-mails de test arrivent bien via la passerelle.

Le filtrage d'une passerelle remplace-t-il le filtrage anti-spam de Microsoft 365 ou Gmail ?

Non. Elle se positionne en amont comme une première couche. Microsoft 365 analyse toujours le courrier entrant et, avec Enhanced Filtering for Connectors, il évalue l'expéditeur d'origine plutôt que la passerelle. Gmail continue également de scanner, à moins que vous ne désactiviez son évaluation anti-spam pour le courrier de la passerelle, ce qui n'est généralement pas recommandé. Deux couches permettent de mieux filtrer, mais augmentent les coûts.