La sécurité des emails des opérateurs ne semblait pas trop leur importer jusqu’à l’année dernière. Si Orange est toujours à la traîne, Free propose pour sa part le top en termes de sécurisation.

En juin, la situation était “catastrophique”, mais les opérateurs se sont majoritairement ressaisis. Dans une enquête ayant commencé l’année dernière, le média NextInpact a cherché à connaître les technologies utilisées pour protéger les adresses fournies aux abonnés des quatre opérateurs ou même simplement les mails envoyés par ces derniers. Si Free a tenu ses promesses et implémenté plusieurs protocoles visant à protéger ses courriels, Orange pour sa part en est encore très loin.

L’opérateur de Xavier Niel était pourtant le moins enclin à répondre lors des premières analyses de nos confrères, mais il a revu sa position fin 2020. Le FAI a commencé alors à signer ses emails avec une technologie permettant de s’assurer que la personne ayant envoyé un courriel est bien propriétaire de l’adresse utilisée : le DKIM. Sans rentrer dans des détails techniques, il s’agit d’un complément à des protocoles déjà existants, spécialisé justement dans le fait de s’assurer de la provenance d’un email en particulier.

Puisqu’un protocole n’est pas toujours suffisant, deux autres technologies ont été implémentées pour préciser la liste des serveurs utilisés par le service mail de Free, ainsi que la politique en cas de problème. Ainsi, les mails envoyés par Free bénéficient désormais du DNS SPF, qui va donc confirmer que le serveur vous ayant fait parvenir votre mail est bien autorisé à le faire. Ce standard, défini il y a une quinzaine d’années sert également à déclarer la marche à suivre en cas d’erreur. SPF et DKIM sont en effet deux protocoles complémentaires.

L’enregistrement DMARC est également désormais proposé par Free, qui sert de deuxième cran de sécurité. Concrètement, ce protocole va vérifier si la signature de votre mail et l’autorisation du serveur concordent. Si c’est le cas, pas de problème, mais si une dissonance est détectée, l’utilisateur concerné aura alors trois possibilités pour cet email : le rejeter, ne rien faire, ou le mettre en quarantaine en le considérant comme suspect.

Orange ne tient pas ses promesses

Dans l’enquête de nos confrères, un mauvais élève se démarque clairement et pour une fois, il s’agit de l’opérateur historique. Si Orange annonçait l’année dernière l’arrivée d’un nouveau serveur mail nouvelle génération, permettant justement de gérer les standards de sécurité implémentés nécessaires à une bonne protection des mails, il n’en est toujours rien à l’heure actuelle. “Une situation incompréhensible” déplore NextInpact. Orange est en effet l’opérateur comptant le plus d’abonnés, mais est aussi très largement engagé dans le domaine de la cybersécurité.

La sécurisation de ces emails est d’autant plus nécessaire qu’ils sont ceux de particuliers mais aussi de milliers de PME et d’artisans, pour qui la sécurité est d’autant plus importante.  Aucun des standards cités précédemment n’a été implémenté pour le moment et Orange n’a pas communiqué d’avantage sur l’arrivée de son nouveau serveur mail, initialement prévu pour la fin de l’année dernière.

Du côté des deux autres opérateurs, la situation est assez stable sans trop de changement. SFR ne propose pas encore l’enregistrement DMARC, pour éviter l’usurpation d’identité, mais le standard DKIM est bel et bien implémenté. Bouygues Telecom est légèrement en retrait, puisque seul le protocole SPF est implémenté à l’heure actuelle.