Cordonniers mal chaussés : 3 pros du numérique sur 4 ne protègent pas leur propre messagerie

Mon étude sur les messageries de petites entreprises a soulevé une question que je ne pouvais pas laisser passer : et ceux dont c'est le métier de les accompagner, les pros du numérique, parfois estampillés « experts cyber », font-ils mieux ? J'ai étendu l'analyse à près de 4 000 d'entre eux.

La réponse est non, et de loin. Parmi ces professionnels référencés par l'État, plus de trois sur quatre laissent leur propre domaine ouvert à l'usurpation. Et ceux qui se présentent comme spécialistes de la cybersécurité ne sont qu'une minorité à vraiment se protéger. Le cordonnier est mal chaussé. Et cette fois, il vend des chaussures.

Pourquoi France Num

Pour éviter tout échantillon arbitraire, je suis parti d'une source officielle et publique : le réseau des Activateurs France Num, le dispositif de l'État qui référence les professionnels du numérique accompagnant les TPE et PME. Il réunit plus de 4 000 structures (agences web, infogéreurs, consultants, éditeurs de logiciels), dont une partie se présente explicitement en cybersécurité. Autrement dit, exactement les prestataires vers qui une petite entreprise se tourne quand elle veut se moderniser ou « se sécuriser ».

Comment j'ai procédé

À partir des données ouvertes de ce répertoire, j'ai rattaché à chaque structure son site web, puis analysé la configuration anti-usurpation de son domaine. L'audit ne repose que sur des informations publiques : les enregistrements DNS SPF, DMARC et MX. Aucune intrusion, aucun e-mail envoyé, aucune donnée privée. Il répond à une seule question : un tiers peut-il envoyer un message en se faisant passer pour cette organisation ?

Pour distinguer les véritables spécialistes de la cybersécurité, j'ai croisé la déclaration France Num avec le discours réel de chaque site, les cas limites étant vérifiés à la main. Les résultats sont présentés de façon agrégée et anonymisée : aucune entreprise n'est nommée.

Trois domaines sur quatre : portes ouvertes

Le courrier électronique a été conçu sans vérification de l'expéditeur : techniquement, n'importe qui peut envoyer un message affiché « de » votre adresse. Seule une politique DMARC contraignante (quarantine ou reject) demande aux messageries d'écarter ces messages. Sur les 3 894 domaines analysés, à peine un sur onze le fait.

77 % des domaines d'acteurs France Num sont usurpables

Protection anti-usurpation (DMARC) des 3 894 structures auditées

Usurpation possible : 76,7 %Quarantaine : 14,6 %Bloquée : 8,7 %

Le paradoxe : un SPF partout, un verrou nulle part

La brique la plus connue est pourtant posée : 93 % des domaines publient un SPF. La façade est là, le verrou n'y est pas. Car le SPF ne protège pas l'adresse que voit le destinataire ; c'est DMARC qui ordonne le rejet. Or 24 % n'ont aucun DMARC, et plus de 2 000 autres l'ont réglé en simple surveillance (p=none) : ils regardent passer l'usurpation sans la bloquer. Au bout du compte, un domaine sur quatre seulement dispose d'un DMARC qui bloque réellement. Et moins d'un sur deux (43 %) surveille même ce qui se passe.

Un SPF presque partout, un blocage presque nulle part

Part des 3 894 domaines atteignant chaque niveau

Publient un SPF93 %Publient un DMARC76 %DMARC qui bloque23 %

Le scénario que cela laisse ouvert est connu : le client reçoit une fausse facture ou un « changement de RIB » qui semble venir de l'adresse habituelle de l'entreprise. Il paie. L'argent est perdu, et c'est le nom de celle-ci qui est en cause.

Même les « experts » cyber laissent la porte ouverte

Parmi ces structures, 355 se présentent explicitement en cybersécurité. Font-elles mieux ? Oui, mais à peine assez pour sauver l'honneur. Elles bloquent l'usurpation deux fois plus souvent que les autres (16,6 % contre 7,9 %) : la compétence se voit. Mais près de six sur dix laissent tout de même leur propre domaine usurpable. Difficile de vendre un cadenas qu'on n'a pas posé chez soi. Cela pose d'ailleurs une question plus gênante : derrière l'étiquette « expert cyber », la compétence réelle est-elle toujours au rendez-vous ?

Même les experts cyber laissent la porte ouverte

Protection anti-usurpation : prestataires « cybersécurité » déclarés vs reste

Usurpation possibleQuarantaineBloquée

Déclarés cybersécurité (355)

Autres prestataires (3 539)

Nuance qui sauve l'honneur de la profession : les spécialistes que j'ai pu confirmer comme réellement experts (vérifiés un à un) se protègent nettement mieux que la moyenne (environ 39 % restent exposés, contre 77 %). La bonne configuration est donc à leur portée, et beaucoup la posent. Ce n'est pas une affaire de moyens : c'est un choix, ou un oubli.

Comment fermer la porte, gratuitement

Les trois réglages sont gratuits et tiennent dans la zone DNS du domaine :

Sans DMARC contraignant, SPF et DKIM ne font que signaler le problème, sans jamais le bloquer.

Et l'assurance dans tout ça ?

Un domaine protégé est un argument pour être bien assuré. À l'inverse, une fraude au faux RIB rendue possible par un domaine non protégé peut compliquer l'indemnisation. C'est précisément là que se rejoignent mes deux métiers. Je suis Fabrice Hallé, courtier en assurance indépendant à Chessy (Val d'Europe), après 18 ans d'ingénierie réseaux télécom. Je vérifie la configuration de votre messagerie, je vous aide à la corriger, et je vous accompagne pour trouver une assurance cyber adaptée à votre activité.