- Accueil
- Solutions
- Pourquoi Klytic
- Guides
- Tarifs
- Partenaires
- Contact
-
-
Accueil›Guides›Sécurité des e-mails
Sécurité des e-mails · Comprendre
Le filtre inclus dans une messagerie protège cette messagerie-là. Une passerelle de sécurité se place devant elle : le MX du domaine la désigne, elle reçoit le courrier, l’analyse, puis le livre au serveur de boîtes, quel qu’il soit. La vraie différence tient au moment de l’analyse : avant que le message n’entre dans la boîte, ou après.
Toute messagerie professionnelle filtre déjà le courrier. Microsoft 365, Google Workspace, un serveur Exchange ou un serveur hébergé ont un antispam et un antivirus intégrés. Ce filtre est conçu pour la plateforme qui le porte : ses règles, ses rapports et ses journaux vivent dans cette plateforme, et partent avec elle le jour où l’on change de fournisseur.
Passerelle SMTP. Un serveur de messagerie placé en amont de la boîte. La RFC 5321, qui décrit le transport du courrier sur Internet, appelle « agent de transfert » (MTA) un serveur qui reçoit un message et le transmet plus loin. L’enregistrement MX du domaine désigne la passerelle : c’est donc elle que les serveurs expéditeurs contactent en premier.
Après analyse, la passerelle remet le message au serveur de boîtes. Les utilisateurs ne la voient pas. Ils gardent leur logiciel, leur webmail et leur téléphone.
Conséquence pratique : la passerelle ne dépend pas de la boîte. On peut changer de serveur de messagerie sans changer de filtre, ou renforcer le filtre sans changer de serveur. Ce sont deux achats distincts, qui se décident séparément.
Un filtre peut agir à deux moments, et le choix n’est pas neutre.
Les deux approches se combinent souvent : une analyse en amont, puis une protection qui continue au moment du clic, parce qu’un site propre à la réception peut être piégé ensuite. Aucune ne prétend tout arrêter.
Klytic place l’analyse avant la boîte pour une raison simple : ce qui n’est pas livré n’a pas à être rattrapé. Cela ne dispense pas d’un réflexe humain quand un message crédible passe tous les contrôles, comme dans la fraude au président.
Ce que cela coûte : un intermédiaire de plus sur le trajet. Il faut le déclarer au serveur de boîtes, sinon celui-ci voit tout le courrier arriver d’une seule adresse et juge mal l’expéditeur réel. Il faut aussi relire SPF, DKIM et DMARC. La page Protéger la messagerie que vous avez déjà décrit ces réglages.
Pour l’ANSSI, la messagerie est « le principal vecteur d’infection du poste de travail », et les systèmes de messagerie sont « un des principaux vecteurs d’attaques puisque très largement utilisés et exposés sur internet ». Hameçonnage, pièce jointe piégée, faux ordre de virement : une adresse e-mail suffit pour être visé, et une TPE l’est autant qu’un grand groupe.
L’ANSSI fait de la protection de la messagerie l’une de ses dix règles d’or de la sécurité numérique, et son référentiel de mesures recommande de mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage. Son guide sur l’interconnexion d’un système d’information à Internet rappelle que l’usage professionnel de la messagerie est très répandu « quels que soient la taille et le secteur d’activité de l’entité », et que des mécanismes antispam et de recherche de contenu malveillant « doivent être mis en œuvre ».
Un filtrage de sécurité du courrier n’est donc plus une option. La vraie question est l’endroit où il se place, et ce qu’il sait arrêter avant que le message n’arrive dans la boîte.
La passerelle ajoute au filtre de la messagerie une analyse qui ne dépend pas de l’éditeur de vos boîtes, une même politique pour plusieurs serveurs ou plusieurs sociétés, et des décisions que l’on peut expliquer.
Aucun filtre, intégré ou placé devant, ne remplace les réflexes rappelés par l’ANSSI : ne pas cliquer sur un lien ou une pièce jointe douteux, ne pas répondre à un courriel suspect, vérifier par un autre canal, activer la double authentification.
Pour décider, une passerelle lit tout le message : l’expéditeur annoncé et le serveur qui l’envoie, les résultats d’authentification (SPF, DKIM, DMARC), le texte, les liens, les pièces jointes. Elle en tire une décision : livrer, mettre en quarantaine, rejeter, ou différer un expéditeur inconnu.
Lire n’est pas conserver. La bonne question à poser à un fournisseur est : qu’est-ce qui reste, et combien de temps ? Pour Klytic MTA, la réponse distingue trois cas, plus la trace de la décision.
| Situation | Ce qui est conservé | Durée |
|---|---|---|
| Livraison normale | Les données personnelles d’analyse (expéditeur, destinataires, sujet, corps, noms des pièces) sont purgées. Restent l’horodatage, le domaine expéditeur, les scores et la décision. | Purge après 2 jours par défaut, délai réglable |
| Message dangereux en quarantaine | Le message complet, chiffré | Le temps de validité du lien de libération, 7 jours |
| Serveur de boîtes injoignable | Le message, chiffré (AES-256-GCM), en file d’attente | Jusqu’à la livraison ou l’expiration du délai |
| Toutes les décisions | Score et motif, sans le contenu | Données techniques conservées pour les statistiques |
« Aucun stockage des messages en fonctionnement normal » veut donc dire : pas de copie durable du courrier livré. Ce n’est pas « zéro donnée ». La passerelle garde la trace de ses décisions, et quelques jours le détail d’analyse. Les horloges sont détaillées dans Conserver et relire les journaux de sécurité des e-mails.
Ce trajet repose sur le comportement normal de SMTP : un serveur qui reçoit une erreur temporaire garde le message et réessaie. Le guide migrer une messagerie sans interruption explique pourquoi ce mécanisme évite de perdre du courrier pendant un changement de MX.
Oui. Les attaques par e-mail ne choisissent pas leur cible selon sa taille. La passerelle est une façon de mettre ce filtrage en place sans changer de messagerie : voir Protéger la messagerie que vous avez déjà.
Non. Le filtre intégré continue de travailler derrière elle. Les éditeurs décrivent comment déclarer une passerelle pour que leur propre analyse reste juste : voir Protéger la messagerie que vous avez déjà.
L’analyse ajoute une étape. Le cas visible est volontaire : un expéditeur inconnu peut être mis brièvement en attente, ce qui écarte des envois automatiques qui ne réessaient jamais.
Oui. Le MX continue de désigner la passerelle ; seul le serveur de livraison change. Le déroulé d’une bascule est dans migrer une messagerie sans interruption.
Il est en quarantaine, pas supprimé. Voir Quarantaine, faux positifs et signalements.
C’est la question de la boîte, pas du filtre. Elle est traitée dans messagerie cloud, dédiée ou dans vos locaux.
Klytic MTA est une passerelle de ce type. Il se souscrit seul, sans Klytic Mail, et livre vers Klytic Mail, Microsoft 365, Google Workspace, Exchange ou tout autre serveur de messagerie.
Le service se déploie dans le cloud Klytic, sur une instance dédiée ou sur vos serveurs. Le cloud Klytic est hébergé dans toute zone géographique correspondant à la juridiction applicable, sous réserve de la disponibilité des services, notamment en Europe ou à Maurice. La mise en service prend généralement 24 à 48 heures : Klytic prépare la configuration, puis vous modifiez le MX de votre domaine, ou Klytic le fait pour vous.
Ce que Klytic MTA ne fait pas : il ne remplace pas votre messagerie, ses comptes ni ses droits, et il ne voit que le courrier qui passe par lui. Pour Microsoft 365 et les autres messageries, voir Protéger la messagerie que vous avez déjà.
Cette page décrit une architecture générale. Le réglage exact dépend de votre messagerie et de vos domaines.
Consultées en octobre 2026.
Essai gratuit de 30 jours, sans changer de messagerie.
Offre de bienvenue
Offre d'essai sans engagement. Un conseiller vous rappelle pour comprendre vos besoins et préparer votre espace Klytic.
