Messagerie professionnelle : domaine, sécurité et usages

Une messagerie professionnelle repose sur trois décisions prises avant la création du premier compte : un nom de domaine détenu par l’entreprise, trois enregistrements DNS qui authentifient les envois, une nomenclature d’adresses écrite. Sans elles, les courriels tombent en indésirables et les boîtes survivent au départ de leurs titulaires.

Ce que change une adresse à votre nom

Une adresse gratuite ouverte chez un fournisseur grand public appartient à la personne qui l’a créée, pas à l’entreprise. Le jour où cette personne s’en va, fâchée ou simplement pressée, l’historique commercial part avec elle. Aucun contrat ne permet de le récupérer.

L’effet sur les destinataires compte tout autant. Un devis expédié depuis une adresse gratuite se distingue mal d’une tentative d’usurpation, et les filtres antispam le savent : rien ne relie ce message à l’entreprise qui l’envoie, ni le domaine affiché, ni la moindre signature technique.

Une adresse construite sur son propre domaine règle les deux problèmes d’un coup. Une boîte du type [email protected] reste la propriété de la société, se transmet, se ferme, se redirige. Il devient surtout possible de prouver qu’un message vient bien de vous, ce qui constitue tout le sujet de la suite.

Le domaine, socle de tout le reste

Un site web et une messagerie partagent le même nom de domaine, mais peuvent vivre chez deux prestataires différents. Cette séparation est banale et saine : le champ MX du domaine désigne les serveurs qui reçoivent le courrier, indépendamment de la machine qui héberge les pages.

Trois précautions valent d’être prises au moment de la réservation. Le titulaire déclaré doit être la société, avec sa raison sociale exacte, jamais le prestataire qui a rendu service, jamais le compte personnel d’un associé. L’adresse de contact administratif ne doit pas dépendre du domaine lui-même, sous peine de ne jamais recevoir l’alerte de renouvellement le jour où tout s’arrête. Le renouvellement automatique se vérifie une fois par an, carte bancaire encore valide à l’appui.

Un domaine expiré coupe le site et la messagerie en même temps, et la remise en service se compte en jours quand elle reste possible. Ce point rejoint les arbitrages détaillés dans notre guide pour choisir une offre d’hébergement, où l’hébergement des courriels figure souvent au contrat sans avoir jamais été examiné.

Où héberger la messagerie professionnelle

Trois modèles se partagent le terrain, et le choix se joue sur la capacité de récupération plus que sur le prix mensuel affiché.

La messagerie incluse dans une offre d’hébergement mutualisé convient aux structures de quelques boîtes, avec un stockage limité et des fonctions de partage réduites. La suite en ligne, facturée par utilisateur, apporte le calendrier partagé, les boîtes déléguées et l’administration centralisée des comptes : c’est le choix par défaut dès qu’une équipe dépasse la poignée de personnes. Le serveur de messagerie auto-hébergé garde ses partisans, mais il suppose une compétence permanente sur la réputation d’envoi et la lutte antispam, deux métiers à temps plein.

Un critère tranche souvent le débat : la capacité à récupérer une boîte supprimée par erreur, et le délai pendant lequel cette récupération reste possible. Posez la question avant de signer, la réponse figure rarement sur la page tarifaire.

SPF, DKIM, DMARC : les trois signatures de vos envois

Le protocole qui achemine les courriels, conçu bien avant que la fraude ne devienne industrielle, n’authentifie pas l’expéditeur. N’importe quel serveur peut écrire n’importe quelle adresse dans le champ « De ». Trois mécanismes ajoutés depuis comblent ce trou, et se publient tous sous forme d’enregistrements dans la zone DNS du domaine.

Qui a le droit d’envoyer pour vous

Publié dans cette zone, l’enregistrement SPF énumère les serveurs autorisés à expédier du courrier au nom du domaine. Le serveur qui reçoit compare l’adresse IP de l’expéditeur à cette liste. Le mécanisme a été normalisé par l’IETF dans la RFC 7208, publiée en avril 2014. L’oubli classique tient en trois exemples : le logiciel de facturation, l’outil d’envoi de lettres d’information et le formulaire du site expédient eux aussi sous votre domaine, et doivent donc figurer dans la liste.

La signature qui voyage avec le message

Un second mécanisme appose sur chaque message une signature DKIM, décrite par l’IETF dans la RFC 6376 publiée en 2011. Le serveur d’envoi calcule cette signature avec une clé privée, dont la clé publique correspondante se publie dans le DNS. Le destinataire vérifie alors deux choses : que le message n’a pas été altéré en route, et qu’il provient bien d’une infrastructure autorisée par le domaine.

La consigne donnée aux destinataires

Reste la politique DMARC, qui relie les deux contrôles précédents et indique aux serveurs récepteurs le sort à réserver aux messages en échec. L’IETF a publié ce mécanisme en 2015 sous la référence RFC 7489, puis l’a fait passer sur le chemin des normes en mai 2026 avec la RFC 9989, qui remplace le texte initial et lui donne enfin le statut de norme proposée.

Le déploiement se fait en trois temps, jamais d’un bloc.

1. Publier une politique d’observation, sans aucune action demandée aux destinataires, avec une adresse qui reçoit les rapports.
2. Lire ces rapports pendant plusieurs semaines et déclarer les services légitimes qui expédiaient à votre insu.
3. Passer en mise en quarantaine, puis en rejet, une fois la liste stabilisée.

L’ANSSI recommande ce triptyque dans ses recommandations relatives à l’interconnexion d’un système d’information à Internet, au chapitre consacré à la protection contre les courriels illégitimes.

Nommer les adresses avant d’en créer une seule

La nomenclature se décide une fois. Changer d’avis à quinze boîtes coûte une refonte des cartes de visite, des signatures et de tous les documents commerciaux déjà partis chez les clients.

Deux familles cohabitent. D’un côté, les comptes nominatifs suivent une règle unique, prénom point nom ou initiale suivie du nom, appliquée sans exception, homonymes compris grâce à une variante écrite à l’avance. De l’autre, les adresses fonctionnelles désignent un rôle et non une personne : contact, facturation, recrutement, support. Elles survivent aux mouvements d’équipe, ce qui constitue leur seule raison d’être.

Quatre règles évitent les impasses les plus fréquentes.

• Réserver les adresses fonctionnelles avant les nominatives, pour éviter qu’un nom de famille ne bloque un rôle.
• Traiter chaque adresse fonctionnelle comme une boîte partagée avec des accès délégués, jamais comme un compte dont le mot de passe circule.
• N’ouvrir aucune adresse générique que personne ne relève, une boîte muette coûte plus cher en réputation qu’elle ne rapporte en apparence de sérieux.
• Créer dès le premier jour l’adresse de contact du nom de domaine et celle qui recevra les rapports d’authentification.

La délégation d’accès proposée par les suites en ligne rend inutile la circulation d’un mot de passe unique entre collègues. Pour les rares secrets qui doivent vraiment être partagés, un gestionnaire de mots de passe d’équipe journalise qui accède à quoi.

Ce qui entre par la boîte : compte piraté et fraude au virement

Cybermalveillance.gouv.fr, dans son rapport d’activité 2025, place le piratage de compte en tête des menaces visant les entreprises et associations, avec 21 % des demandes d’assistance et une progression de 52 % sur un an. L’hameçonnage suit avec 16 % des diagnostics, en hausse de 29 %. La fraude au virement entre dans le trio de tête, à 13,5 % des demandes, avec un bond de 93 %. Ces trois menaces passent par la messagerie.

Activer la double authentification sur chaque boîte transforme un mot de passe volé en information inutilisable seule. La mesure se pilote côté administrateur et se rend obligatoire plutôt que facultative : un compte sans second facteur reste la porte par laquelle tout commence.

Reste la fraude au virement, qui appelle une réponse organisationnelle et non technique. Un changement de coordonnées bancaires annoncé par courriel se vérifie par un appel au numéro connu du fournisseur, jamais à celui qui figure dans le message. Écrivez cette règle, nommez les personnes autorisées à valider un paiement, et retirez toute notion d’urgence de la procédure : l’urgence est précisément l’outil du fraudeur. Ce réflexe complète le socle de cybersécurité que toute structure gagne à poser tôt.

L’arrivée et le départ d’un salarié

À l’arrivée, la création du compte nominatif s’accompagne de quatre gestes : activation du second facteur, configuration de la signature normalisée, abonnement aux boîtes fonctionnelles utiles au poste, remise écrite des règles d’usage. La charte informatique sert de support à cette dernière étape, puisqu’elle décrit ce que l’entreprise tolère et ce qu’elle contrôle.

Le départ demande davantage de méthode. La CNIL retient que les modalités de fermeture du compte se prévoient dans la charte, que le salarié doit être averti de la date de fermeture pour trier sa messagerie, et que son adresse nominative est ensuite supprimée. Traduction pratique : un message d’absence renvoyant vers un contact interne, pendant une durée limitée et annoncée, plutôt qu’une redirection silencieuse et permanente des courriels vers un collègue.

L’ordre des opérations évite les trous. Révocation des sessions actives, changement du mot de passe, transfert des dossiers strictement professionnels, retrait des délégations sur les boîtes partagées, puis suppression à la date annoncée. Le même mouvement s’applique à tous les autres accès du salarié, ce que documente notre méthode de gestion du parc informatique au chapitre du départ d’un collaborateur.

Sauvegarder et archiver ce qui transite

Une boîte hébergée en ligne n’est pas sauvegardée par nature. La suppression d’un message par son propriétaire, volontaire ou accidentelle, se propage aux appareils synchronisés en quelques secondes, et la corbeille se vide seule au terme d’un délai fixé par le prestataire.

La sauvegarde et l’archivage des messages répondent à deux besoins distincts. La première restaure un état perdu, le second conserve une copie indépendante du compte, exploitable après le départ du titulaire ou en cas de litige commercial. Bons de commande, validations de devis et échanges contractuels relèvent de cette seconde catégorie : leur durée de conservation obéit aux obligations de l’entreprise, pas à la politique de rétention du fournisseur de messagerie.

En pratique : une exportation périodique des boîtes vers un stockage maîtrisé, chiffrée, et un test de restauration annuel sur une boîte tirée au hasard. Le test compte davantage que la sauvegarde elle-même, ici comme partout ailleurs.

Par où commencer cette semaine

Ouvrez la zone DNS de votre domaine et vérifiez trois lignes : le champ MX, l’enregistrement SPF et la clé publique DKIM. Publiez ensuite une politique DMARC en observation, avec une adresse de rapport réellement relevée. Six semaines de lecture suffisent pour repérer les services qui expédient en votre nom sans que personne s’en souvienne, puis pour durcir la consigne sans casser un seul envoi légitime.