Cardinal Security
Tous les articles
Adrian Frutieaux 2 min de lecture MessagerieDMARCHameçonnage

DMARC : pourquoi votre messagerie peut être usurpée (et comment le vérifier)

L'usurpation d'email reste le moyen le plus simple de tromper vos clients et vos équipes. Voici, sans jargon, ce qu'est DMARC et comment savoir où vous en êtes.

Vous recevez un email signé de votre directeur financier : son nom, son adresse, son ton habituel. Sauf qu’il n’en est pas l’auteur. C’est exactement ce que permet l’usurpation d’email quand un domaine n’est pas protégé. C’est aujourd’hui l’un des leviers d’attaque les plus simples contre une PME.

Pourquoi c’est possible

Par défaut, le protocole qui achemine les emails ne vérifie pas qui envoie réellement un message. N’importe qui peut écrire « De : [email protected] ». Trois mécanismes complémentaires ferment cette porte :

  • SPF déclare quels serveurs ont le droit d’envoyer des emails en votre nom.
  • DKIM signe vos messages : on peut prouver qu’ils n’ont pas été falsifiés.
  • DMARC tranche : il dit aux messageries quoi faire d’un email qui échoue à ces contrôles : le laisser passer, l’isoler, ou le rejeter.

Sans DMARC actif, un email frauduleux usurpant votre domaine arrive sans encombre chez vos clients.

Ce que ça change pour vous

L’enjeu est commercial, pas seulement technique. Une adresse usurpée pour réclamer un « nouveau RIB » à vos clients, c’est une fraude au virement, et une confiance entamée. Rappelons que plus d’une PME sur deux a subi une cyberattaque en 2025, l’hameçonnage en tête.*

Bonne nouvelle : c’est aussi l’un des points les plus rapides à corriger. SPF, DKIM et une politique DMARC ferme ne remplacent rien : c’est une affaire de configuration DNS, souvent réglée par votre prestataire en peu de temps.

Où en êtes-vous ?

Tout se vérifie sans le moindre accès à vos systèmes : ces réglages sont publics. C’est d’ailleurs ce que nous regardons en premier dans un diagnostic. Trois cas reviennent :

  1. DMARC absent : la porte est ouverte.
  2. DMARC en observation (p=none) : vous recevez des rapports, mais rien n’est bloqué.
  3. DMARC actif (p=quarantine ou p=reject) : les emails usurpés sont écartés. L’objectif.

En bref

L’usurpation de messagerie est un risque réel, mais parmi les plus faciles à neutraliser. Si vous ignorez l’état de votre domaine, commencez par là.

Vous voulez savoir ce qu’un attaquant voit de votre messagerie ? Demandez un diagnostic. Analyse 100 % passive, sans toucher à vos systèmes.

* Sources : Hiscox & cybermalveillance.gouv.fr, 2025.