- Accueil
- Solutions
- Pourquoi Klytic
- Guides
- Tarifs
- Partenaires
- Contact
-
-
Accueil›Guides›Sécurité des e-mails
Sécurité des e-mails · Comprendre
Oui, on peut renforcer la protection de Microsoft 365, de Google Workspace, d’Exchange ou d’un autre serveur sans changer de messagerie. Le MX du domaine désigne la passerelle, qui analyse le courrier puis le livre au serveur actuel. Les utilisateurs gardent leurs boîtes ; le gestionnaire du DNS et l’administrateur de la messagerie ont chacun un réglage à faire.
Changer de messagerie et changer de protection sont deux projets différents. Le premier déplace les boîtes, l’historique, les agendas et les comptes sur les téléphones. Le second ne touche qu’au chemin du courrier entrant.
Ce chemin tient dans un enregistrement DNS : le MX, qui indique aux serveurs expéditeurs où livrer le courrier de votre domaine. Quand il désigne la passerelle, elle reçoit, analyse, puis remet le message au serveur de boîtes. Cela vaut pour :
Ce guide traite le cas où l’on garde la boîte. Si vous changez aussi de serveur, les guides migrer depuis Microsoft 365 et migrer depuis Google Workspace décrivent ce projet-là.
| Réglage | Où | Qui |
|---|---|---|
| Enregistrement MX du domaine | Zone DNS, chez le bureau d’enregistrement ou l’hébergeur DNS | La personne qui gère le DNS, ou le prestataire qui en a reçu la délégation |
| Déclaration de la passerelle à la messagerie | Console d’administration de Microsoft 365, de Google Workspace ou du serveur | L’administrateur de la messagerie |
| SPF, DKIM et DMARC | Zone DNS | Le gestionnaire du DNS, après inventaire des serveurs qui envoient pour le domaine |
| Domaines et serveur de livraison | Passerelle | Le fournisseur de la passerelle, qui prépare la configuration |
La documentation Microsoft sur le filtrage par un service tiers est claire : le MX du domaine doit désigner ce service, qui livre ensuite à Exchange Online. Microsoft recommande un connecteur entrant de type « partenaire », qui peut refuser le courrier arrivé sans passer par le service. Il recommande aussi d’activer le filtrage amélioré pour les connecteurs, afin que sa propre analyse évalue le véritable expéditeur et non l’adresse de la passerelle. Il déconseille de simplement contourner son filtrage pour les adresses du service tiers.
Google décrit une « passerelle de messagerie entrante » : le MX désigne la passerelle, puis l’administrateur déclare ses adresses IP dans la console. Gmail s’en sert pour retrouver l’adresse réelle de l’expéditeur dans les en-têtes, dont dépendent SPF et son évaluation du spam. On peut aussi refuser le courrier qui ne vient pas de la passerelle. Google précise qu’il n’applique pas la politique DMARC de l’expéditeur au courrier reçu par une passerelle déclarée : ce contrôle revient alors à la passerelle.
Ce guide ne recopie pas les écrans de ces consoles, qui changent. Suivez la page officielle citée en bas de page au moment du réglage.
Cas fréquent dans un groupe : la société mère sur Microsoft 365, une filiale sur Google Workspace, une troisième sur un serveur historique. Une seule passerelle peut précéder les trois.
Le principe est un routage par domaine. Chaque domaine voit son MX pointer vers la passerelle. Pour chaque domaine, la passerelle connaît le serveur auquel remettre le courrier après analyse. L’analyse est commune, la destination change.
Intérêt : une même politique de filtrage, ou des réglages différents selon le domaine, et la lecture de toutes les décisions au même endroit. Point à préparer : un domaine dont les boîtes seraient réparties entre deux serveurs demande de savoir, adresse par adresse, où livrer. Ce cas s’étudie avant la bascule.
Ne change pas : les adresses, les boîtes, l’historique, le logiciel de messagerie, le webmail, les téléphones. Le filtre intégré de la messagerie continue de fonctionner. Les droits et les partages internes restent ceux de la plateforme.
Change :
Le jour où vous changerez aussi de serveur de boîtes, la passerelle peut rester en place : seul son serveur de livraison change. Le guide migrer une messagerie sans interruption reste la référence pour ce jour-là, y compris pour SPF, DKIM et DMARC.
Le retour arrière est simple : remettre l’ancien MX. Il se prépare comme pour une migration, avec une personne qui a le droit de le décider.
Elle voit le courrier qui la traverse, et seulement lui. Elle ne voit pas les messages échangés entre deux boîtes d’une même plateforme qui ne sortent pas de celle-ci, ni les fichiers partagés dans un espace de stockage en ligne, ni les connexions des utilisateurs.
Elle ne remplace donc pas les réglages internes de Microsoft 365 ou de Google Workspace : droits, double authentification, alertes de connexion, règles de transfert automatique. Un compte volé reste d’abord un sujet de la messagerie. Le guide spam, phishing, malware et compte compromis fait la part des choses.
Enfin, un expéditeur qui connaît l’adresse technique du serveur de boîtes peut tenter de lui livrer directement, sans passer par le MX. C’est la raison du verrouillage proposé par Microsoft (connecteur partenaire) et par Google (refus du courrier hors passerelle).
Leurs adresses ne changent pas. Prévenez-les en revanche qu’ils pourront recevoir des avis de quarantaine : voir Quarantaine, faux positifs et signalements.
Non. Microsoft recommande de laisser son analyse active et de la régler pour qu’elle voie le véritable expéditeur, plutôt que de la contourner.
Le changement de MX lui-même prend effet au rythme du cache DNS. La préparation dépend du nombre de domaines et de serveurs. Pour Klytic MTA, voir la section suivante.
Seulement si elle relaie aussi le courrier sortant. Dans ce cas, SPF et DKIM doivent en tenir compte : voir SPF, DKIM et DMARC.
C’est une autre décision, avec d’autres critères. Elle est traitée dans choisir une messagerie professionnelle européenne.
Klytic MTA se place devant la messagerie que vous avez : Microsoft 365, Google Workspace, Exchange, Klytic Mail ou tout autre serveur. Il ne suppose pas de boîte Klytic.
Klytic MTA ne gère pas les droits ni les comptes de votre messagerie actuelle, et ne promet pas d’équivalence avec les outils de sécurité intégrés à Microsoft 365 ou à Google Workspace : il s’ajoute devant eux.
Cette page décrit un principe. Les consoles Microsoft et Google évoluent : leur documentation officielle fait foi pour le geste.
Consultées en octobre 2026.
Essai gratuit de 30 jours, sans changer de messagerie : seul le MX change.
Offre de bienvenue
Offre d'essai sans engagement. Un conseiller vous rappelle pour comprendre vos besoins et préparer votre espace Klytic.
