Un logo connu, un nom de partenaire, une invitation à un événement : rien de tout cela ne prouve qui a réellement envoyé un courriel. Dans une boîte Microsoft 365 de PME, cette confusion est précisément ce que recherchent les campagnes d’usurpation récentes. La bonne nouvelle, c’est que la cybersécurité PME ne repose pas seulement sur l’œil du collaborateur. Elle repose sur une vérification simple et répétable du domaine d’envoi réel et de l’authentification du message.
Vous verrez pourquoi un logo ne prouve jamais l’identité d’un expéditeur, comment fonctionne l’imitation d’une marque, d’un partenaire ou d’un événement, et ce qu’il faut avoir sous la main avant de commencer. Nous détaillons ensuite l’étape 1, regarder le domaine d’envoi réel plutôt que le nom affiché, et l’étape 2, confirmer par un canal indépendant avant d’ouvrir. Côté prestataire, nous expliquons comment SPF, DKIM et DMARC font tourner la vérification, comment lire un rapport d’échec DMARC et le rendre exploitable. Enfin, vous saurez quoi faire quand un message reste douteux et comment ancrer ce réflexe dans la routine. La conclusion propose trois actions à mettre en place cette semaine.
Pourquoi un logo ne prouve jamais l’identité d’un expéditeur
Le nom affiché (« Votre cabinet comptable ») et le logo sont des champs libres : l’expéditeur y écrit ce qu’il veut, y compris la reproduction exacte d’une marque connue. Un message peut ainsi afficher une adresse propre en vitrine tout en partant techniquement d’un autre domaine, domaine ressemblant ou faute de frappe incluse.
Seul le domaine d’envoi réel est vérifiable, et il n’apparaît que dans les en-têtes complets, jamais dans l’aperçu de la liste de réception. Votre client de messagerie peut afficher certains avertissements, mais ne décide pas à votre place ; la configuration de ces repères fait partie des réglages à cadrer dès une migration vers Microsoft 365 pour PME.
Pour une PME, un logo soigné, une signature léchée, un ton familier et un fil de discussion existant restent des signaux de confort. Ce ne sont jamais des preuves d’authenticité. Reste à comprendre comment cette imitation se fabrique.
Imiter une marque, un partenaire ou un événement : le mécanisme
Trois cibles dominent : une marque connue (éditeur logiciel, banque, service en ligne), un partenaire régulier (comptable, client, prestataire) ou un événement d’actualité (échéance fiscale, facture, salon, mise à jour de sécurité annoncée). La mise en scène ne convainc pas, elle recopie : même nom affiché, signature reprise, réponse glissée dans un vrai fil de discussion pour emprunter sa crédibilité.
Quatre demandes doivent alerter, quelle que soit la qualité de la mise en scène :
- changement de coordonnées bancaires ;
- paiement urgent et confidentiel ;
- ouverture d’une pièce jointe ;
- réinitialisation d’identifiants via un lien.
Exemple : le rapport d’incident de l’ANSSI sur les cyberattaques contre la DGFiP (29 septembre 2026) le rapport décrit des lacunes dans les contrôles et un délai avant détection ; les 678 000 personnes concernées, selon le nouveau bilan de la DGFiP, relèvent d’un incident français du secteur public, non transposable à une PME.
La leçon tient moins à la sophistication de l’attaque qu’à deux variables : contrôles simples absents et délai avant que quelqu’un remarque l’anomalie. C’est le point de départ d’un audit cybersécurité PME.
Ce qu’il faut avoir sous la main avant de commencer
Une fois le mécanisme compris, préparez le minimum avant d’ouvrir un message sensible. Sachez lire les en-têtes : dans Outlook web, via les détails puis l’affichage de la source du message ; dans Outlook classique, via les propriétés du message et les en-têtes Internet. Partagez un vocabulaire commun : domaine visible (ligne From), expéditeur d’enveloppe (Return-Path / MAIL FROM), lignes Received et Authentication-Results. Définissez un canal de confirmation fiable : numéro connu du carnet, contact interne désigné ou mot de passe convenu avec le partenaire, sans improviser. Écrivez une règle interne : qui alerte qui, qui arbitre, où archiver le message douteux et comment le transmettre au support. Si votre messagerie Microsoft 365 ou Exchange Online est administrée en externe, clarifiez qui détient les accès d’administration et reçoit les rapports d’authentification. Un onboarding IT externalisé réussi fixe ces responsabilités dès le départ.
Le réflexe en deux étapes appliqué par l’équipe
Une fois ces repères posés, la méthode tient en deux gestes. Le principe : ne pas juger si le message « a l’air vrai », mais déterminer d’où il part réellement. L’apparence ne sert qu’à décider si l’on accorde trente secondes à la vérification.
Deux conditions pour que ce réflexe s’installe dans une cybersécurité PME : l’objectif est de tenir en quelques secondes au plus, et n’exiger aucun outil spécialisé. C’est ce qui le rend applicable un vendredi après-midi chargé.
Le périmètre est volontairement étroit. On vérifie les messages qui réclament une action : paiement, identifiants, pièce jointe, changement de coordonnées. Pas la boîte de réception entière.
Enfin, il se transmet par la pratique. Quelques mises en situation courtes valent mieux qu’un mémo annuel. Voici comment elles s’enchaînent.
Étape 1 : regarder le domaine d’envoi réel, pas le nom affiché
Une fois l’action suspendue, ouvrez les en-têtes complets et comparez deux lignes au domaine habituel du partenaire : l’expéditeur d’enveloppe et la ligne From. C’est cette comparaison, et non le logo, qui déjoue l’imitation de marque.
Trois écarts sans ambiguïté : domaine proche mais différent (faute de frappe, tiret ajouté), domaine gratuit ou d’hébergeur grand public à la place d’un domaine d’entreprise, sous-domaine inattendu derrière un domaine connu.
Lisez Authentication-Results sans surinterpréter : spf, dkim et dmarc affichent pass, fail, softfail ou none. Un dkim=pass peut signer un domaine sans rapport avec le partenaire attendu ; seul l’alignement compte.
Ne répondez jamais ni ne cliquez pour tester : cela confirme au fraudeur que l’adresse est active.
Domaine inconnu et action sensible ? Ne prolongez pas l’analyse : passez à l’étape 2. En infogérance, vérifiez quelles vérifications sont incluses dans votre contrat.
Étape 2 : confirmer par un canal indépendant avant d’ouvrir
Contactez le prétendu expéditeur via un canal absent du courriel : numéro du carnet, appel vers son poste interne, message dans l’outil métier ou l’espace client. Un changement de coordonnées bancaires doit faire l’objet d’une double validation : second canal et seconde personne, même pour un partenaire de longue date. N’ouvrez ni pièce jointe ni lien ; isolez le message dans un dossier dédié plutôt que de le supprimer, pour conserver preuve et en-têtes. Si la confirmation échoue ou reste incertaine, appliquez la règle interne : alerte immédiate et envoi du message complet, en-têtes inclus, au support ou au prestataire informatique. Ces règles gagnent à être écrites, y compris dans vos clauses contractuelles avec clients et fournisseurs.
Côté prestataire : SPF, DKIM et DMARC font tourner la vérification
La vérification humaine ne suffit pas : votre propre domaine doit être protégeable. Ces trois protocoles se complètent pour authentifier vos envois et signaler les usurpations.
Dans Microsoft 365, les réglages se posent côté DNS et dans Exchange Online. Mal alignés, ils protègent vos envois sortants sans empêcher un tiers d’usurper votre nom chez vos partenaires. L’objectif est double : que vos partenaires vérifient que vos messages viennent de vous, et que vous voyiez les tentatives d’usurpation de votre domaine.
SPF : déclarer les serveurs autorisés à envoyer pour votre domaine
Le SPF (Sender Policy Framework) est un enregistrement DNS qui énumère les serveurs autorisés à envoyer du courrier pour votre domaine. Un réceptionnaire qui reçoit un message d’un serveur absent de cette liste obtient un résultat d’échec.
Le SPF comporte des limites techniques (recherches DNS et politique unique par domaine) qu’il faut anticiper. Il faut donc recenser les domaines secondaires et les outils tiers qui envoient en votre nom (facturation, marketing, helpdesk).
Ne durcissez pas la politique trop vite : la phase d’observation et le branchement des outils oubliés précèdent un passage en politique restrictive, qui casse sinon des envois légitimes.
Le SPF contrôle l’expéditeur d’enveloppe, pas l’adresse visible dans la boîte de réception. Ce décalage est ce que DMARC encadre via l’alignement.
DKIM : la signature qui prouve que le message n’a pas été altéré
Là où SPF autorise des serveurs à envoyer, DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque message, que le destinataire peut vérifier côté DNS. Elle prouve que le contenu n’a pas été altéré en route, pas que l’expéditeur est le partenaire attendu : un message peut être correctement signé par un domaine tiers. Regardez donc quel domaine a signé.
Deux éléments doivent être documentés : la rotation des clés et la signature par une passerelle de sécurité ou une plateforme d’envoi. Sans cette documentation, des messages légitimes risquent d’être filtrés.
Le bénéfice est direct : une authentification correcte améliore la délivrabilité de vos messages professionnels.
DMARC : la politique et l’alignement qui font tenir l’ensemble
DMARC combine les résultats SPF et DKIM et exige un alignement avec le domaine visible. C’est cet alignement qui rend l’usurpation du nom affiché détectable : un logo copié ne suffit plus.
Le déploiement se fait par étapes : une politique d’observation, puis de mise en quarantaine, enfin de rejet. Si des envois légitimes chutent en cours de déploiement, on revient en arrière avant de durcir.
Une adresse de rapport désignée dans la configuration DMARC reçoit les rapports agrégés. Sans elle, aucune visibilité sur qui prétend envoyer en votre nom.
Périmètre à annoncer clairement aux dirigeants : DMARC protège votre domaine vers l’extérieur. Il n’empêche pas un tiers d’imiter un partenaire depuis un domaine ressemblant. Le réflexe humain et les protections des postes restent donc nécessaires.
Lire un rapport d’échec DMARC et le rendre exploitable
Une fois la politique en place, reste à lire ses rapports. Un rapport agrégé contient les informations sur les sources d’envoi et les résultats d’authentification : une matière première à trier, pas une alerte.
On distingue généralement trois familles (approche recommandée) : outil légitime mal déclaré (correction DNS), usurpation de votre domaine (surveillance, durcissement), bruit d’analyseurs automatiques (filtrage).
Quatre prérequis rendent le rapport exploitable : une adresse de rapport maîtrisée, un rythme de lecture défini, un responsable nommé, un délai de correction cible.
Ce tri se mène en continu, dans un suivi proactif, jamais lors d’un audit annuel où les tentatives passées ne sont plus qu’historiques. Le choix du partenaire qui porte ce suivi mérite une évaluation au-delà du tarif horaire.
Que faire quand un message reste douteux
Prévenez la direction, la comptabilité et toute personne liée au partenaire imité : il n’est pas rare que ces campagnes visent simultanément plusieurs personnes d’un même service. Isolez le message dans un dossier dédié, conservez-le avec ses en-têtes complets et transmettez-le au support. Signalez via l’autorité compétente de votre pays ; en Suisse, le NCSC, car les procédures ANSSI ou CNIL ne s’appliquent pas telles quelles à une PME suisse.
Si un identifiant a été saisi ou un paiement déclenché : réinitialisez les mots de passe, vérifiez dans Microsoft 365 les règles de transfert automatique et les boîtes aux lettres inconnues, et appelez la banque sans attendre. La cybersécurité PME ne s’arrête pas là : voyez votre prestataire endpoint security.
Documentez chaque signalement : un même message reçu deux fois indique un domaine usurpé utilisé plus largement, donc un durcissement immédiat.
Conseils pour ancrer le réflexe dans la routine de la PME
Traiter chaque doute comme un cas isolé ne suffit pas : le réflexe doit entrer dans le processus. Inscrivez dans la procédure que toute demande de paiement ou de changement de coordonnées passe par une confirmation par un autre canal, sans céder à l’urgence invoquée.
Activez les protections disponibles dans votre environnement Microsoft 365, votre prestataire peut vous guider sur les réglages adaptés à votre tenant.
Formez par petites mises en situation courtes, ciblées sur ceux qui valident paiements et accès, plutôt qu’une session annuelle générique.
Mesurez trois choses : messages douteux signalés, délai entre signalement et réaction, tentatives d’usurpation visibles dans les rapports DMARC. En cybersécurité PME, ces réglages dérivent vite : un suivi continu évite de revenir au point de départ.
Conclusion : trois actions à mettre en place cette semaine
Pour concrétiser, trois priorités cette semaine.
- Rendez la vérification du domaine d’envoi réel obligatoire avant toute action sensible : en-têtes ouverts, domaine comparé, logo ignoré.
- Confirmez par un canal indépendant tout changement de coordonnées bancaires, avec double validation. Une seule règle appliquée correctement vaut mieux qu’une charte de dix pages.
- Faites vérifier votre authentification e-mail (SPF, DKIM, DMARC, alignement) et instaurez une lecture régulière des rapports d’échec, avec un responsable nommé.
Ces deux habitudes sont le cœur de la démarche décrite dans cet article. Le jour où un message imitant un partenaire arrive, ces réflexes font gagner du temps, de l’argent et évitent une fraude au virement.
