Vous avez blindé la porte — et vous laissez entrer quiconque dit le bon nom

Vous avez fait le travail. SPF, DKIM, DMARC à p=reject. Plus personne ne peut envoyer de courriel au nom de votre entreprise. Le test est vert, l'auditeur est content, la case est cochée.

Puis, un mardi après-midi, la comptabilité reçoit un message de votre plus gros fournisseur. Même nom, même signature, même ton que les quarante dernières factures. Nous avons changé de banque — veuillez utiliser le nouveau compte pour le solde à payer.

Il passe toutes les vérifications que vous avez mises en place. Parce que vos vérifications n'ont jamais porté sur ce courriel-là.

Ce que votre politique DMARC protège vraiment

DMARC est une règle que vous publiez au sujet de votre propre nom. Elle dit à tous les serveurs de courriel du monde : si un message prétend venir de chez nous et ne porte pas notre signature, refusez-le. C'est une vraie protection — pour les gens qui reçoivent des courriels de vous.

Elle ne dit rien des courriels que vous recevez. Ceux-là arrivent au nom de vos fournisseurs, de vos clients, de votre comptable, de votre banque, d'un ministère, du logiciel que vous payez chaque mois. Chacun de ces messages est protégé par leur politique, pas par la vôtre.

Et la plupart n'en ont pas.

Le chiffre

En août, nous avons vérifié les enregistrements DNS publics de 296 organisations québécoises dans neuf secteurs. 72 % ne bloquent pas l'usurpation de leur propre nom. Vingt-quatre pour cent sont grandes ouvertes — n'importe qui, n'importe où, peut envoyer un courriel en leur nom et il arrive dans la boîte de réception, identique au vrai. Un autre 48 % se contente de classer la contrefaçon dans les indésirables, à un réglage près de la refuser.

Des hôpitaux. Des universités. Des cabinets comptables. Des cabinets d'avocats. Des municipalités. Le genre de noms qui figurent en haut de votre carnet d'adresses.

Imaginez maintenant votre propre liste — les 300 adresses qui vous écrivent le plus souvent. Les fournisseurs qui envoient des factures. Les clients qui envoient des bons de commande. Le service de paie. L'organisme qui vous envoie des avis. Statistiquement, la plupart de ces portes ne sont pas verrouillées, et chacune d'elles donne sur votre service de comptabilité.

L'attaquant ne pirate rien

C'est la partie qui dérange, une fois qu'on la voit. Pour envoyer un courriel au nom d'un fournisseur sans politique DMARC, un attaquant n'a besoin d'aucun mot de passe, d'aucun logiciel malveillant, d'aucune intrusion. Il tape l'adresse du fournisseur dans le champ De et appuie sur Envoyer. Le courriel fonctionne comme ça depuis 1982.

La version plus difficile est pire. La vraie boîte du fournisseur est compromise, et le message vient alors réellement de chez lui — signé, authentifié, au beau milieu d'un vrai fil de discussion. Aucun enregistrement DNS au monde n'arrête celui-là, et c'est pourquoi la dernière section de ce billet ne parle pas de DNS du tout.

Deux choses ont changé récemment. Les messages sont maintenant rédigés par l'IA : la coquille, la tournure bizarre, le « kindly revert » — les indices qu'on a appris à tout le monde à repérer — ont disparu. Et le volume est industriel : un attaquant, des milliers de noms non verrouillés, un script.

Trois gestes qui ferment vraiment la brèche

1. Assurez-vous de ne pas être la porte non verrouillée de quelqu'un d'autre.Vérifiez votre domaine. Ça prend une minute et c'est gratuit. Si vous êtes encore à p=none, vous êtes le fournisseur dans la version de quelqu'un d'autre de cette histoire. Notre guide sur ce qu'il faut vraiment changer couvre le reste.

2. Demandez aux gens qui vous écrivent. Presque personne ne le fait, et c'est exactement pour ça que ça marche. Envoyez ce billet à vos cinq plus gros fournisseurs et à votre comptable, avec une seule question : est-ce que n'importe qui peut envoyer un courriel en votre nom ? La plupart ne le sauront pas. Leur TI le découvrira en une minute avec le lien ci-dessus. Vous n'êtes pas difficile — vous êtes le client qui s'en est aperçu avant la fraude plutôt qu'après.

3. Laissez votre filtre de courriel poser la question à votre place. Personne ne peut relancer 300 correspondants à la main, et la liste change chaque mois. Certains services de filtrage ont commencé à le faire automatiquement. Un exemple — en toute transparence, il est bâti par la même équipe que DMARC Guy — est la fonction Avis aux expéditeurs de LastSpam : quand un courriel légitime arrive d'un domaine qui pourrait être usurpé, elle envoie à cet expéditeur une courte note polie qui nomme le problème exact et le correctif. Elle n'écrit jamais qu'à des expéditeurs dont le courriel a été réellement authentifié et accepté — jamais à propos d'un pourriel, jamais à une adresse Gmail ou Outlook, au plus une fois par semaine par expéditeur, leur postmaster en copie une seule fois — et elle ne vous nomme jamais, sauf si vous le choisissez. Les expéditeurs corrigent leur domaine ; votre boîte devient plus sûre sans que personne n'ait à se connecter nulle part.

Nous sommes partiaux, évidemment. Alors posez la question à votre propre fournisseur — celui qui filtre vos courriels aujourd'hui : que faites-vous des expéditeurs qui pourraient être usurpés ? Si la réponse est « nous bloquons les mauvais », c'est la réponse à une autre question.

La seule chose que le DNS ne peut pas régler

Pour la version du compte compromis — le vrai fournisseur, le vrai fil, le nouveau compte bancaire — aucun enregistrement n'aide. Le remède est plus vieux que le courriel : tout changement de coordonnées de paiement est confirmé par téléphone, à un numéro que vous aviez déjà, avant qu'un sou ne bouge. Écrivez-le comme politique. Les attaquants comptent sur le fait que ce n'est écrit nulle part.

Blindez la porte, puis regardez qui a les clés

Protéger votre propre nom était la bonne chose à faire. C'était aussi la moitié du travail — la moitié que vous pouvez finir seul. L'autre moitié appartient à tous ceux qui vous écrivent, et jusqu'ici, personne ne leur posait même la question.

Commencez par votre propre domaine : vérifiez-le ici. Puis faites suivre ce billet à la personne qui vous envoie des factures.