La santé française face à l'usurpation d'email

Ce que le baromètre relève, et comment

Le volet santé du baromètre de l'Observatoire DMARC suit un corpus de domaines d'établissements de santé français — CHU et centres hospitaliers, groupes de cliniques, réseaux de laboratoires — et les relève au DNS public. La méthode n'a rien d'intrusif : elle lit ce que n'importe quel résolveur voit. L'enregistrement TXT posé sur _dmarc.exemple.fr, la politique p= qu'il déclare, le sort des sous-domaines, l'enregistrement SPF et sa rigueur, les indices publics de DKIM et de BIMI.

Chaque domaine est classé selon sa politique effective : reject (l'usurpation est rejetée), quarantine (elle part en spam), none (surveillance sans blocage), enregistrement absent, ou invalide — une seule faute de syntaxe suffit à priver une politique de tout effet. Le relevé est refait chaque mois, ce qui produit deux choses qu'une photo isolée ne donne jamais : un classement à date et une trajectoire — qui progresse, qui stagne, qui régresse.

La hiérarchie utile se lit ainsi : absent < invalide < none < quarantine < reject. Un enregistrement en p=none :

v=DMARC1; p=none; rua=mailto:dmarc@exemple.fr

ne bloque strictement rien — c'est un mode d'écoute, indispensable pour démarrer, sans aucune valeur défensive. Un domaine hospitalier en p=none reste usurpable exactement comme s'il n'avait pas de DMARC ; la seule différence est que les tentatives apparaissent dans ses rapports.

Un principe ferme découle du rythme mensuel : cet article ne cite aucun pourcentage. Un chiffre imprimé ici serait faux six mois plus tard et continuerait pourtant d'être lu. La répartition par statut, le classement par établissement et l'évolution mensuelle vivent dans l'édition mensuelle, remise à jour à chaque relevé — c'est elle qui fait foi.

Les schémas structurels du corpus santé

Sans recopier les chiffres du mois, quatre schémas structurels reviennent dans ce corpus — et ils désignent les chantiers réels.

Les grands CHU en avance relative. Les établissements les plus visibles sont généralement les mieux tenus : une équipe sécurité identifiée, des audits réguliers, une exposition médiatique qui interdit la négligence. « Relative » reste le mot juste : l'avance se manifeste souvent par la présence d'un enregistrement et d'une surveillance, pas encore par une politique durcie sur tout le périmètre.

La longue traîne. Derrière la tête de peloton, la distribution s'étire : centres hospitaliers moyens à mi-chemin, petites structures sans enregistrement du tout, EHPAD absents du sujet. La moyenne d'un tel corpus ne dit presque rien ; la forme de la distribution dit tout, et c'est elle que l'édition mensuelle rend visible.

Des domaines multiples par établissement. Un même hôpital cumule souvent un domaine historique, le domaine du groupement, des domaines par site ou par activité — recrutement, fondation, événementiel. L'attaquant choisit la porte la moins gardée : une politique stricte sur le domaine principal protège mal un établissement dont le domaine de recrutement, celui qui écrit spontanément à des candidats, reste en none. Les domaines dormants — anciennes identités, fusions passées — se verrouillent pourtant en deux enregistrements : un SPF v=spf1 -all et un DMARC p=reject. C'est le chantier le moins coûteux de tout le secteur.

Des enregistrements invalides. Le DNS hospitalier a souvent traversé plusieurs prestataires et plusieurs fusions ; il en garde des cicatrices — enregistrements dupliqués, syntaxe fautive, adresse de rapport orpheline. Une politique invalide équivaut à une absence, et seul un relevé régulier la détecte.

Le standard courant, DMARCbis (RFC 9989 à 9991), affine la lecture de ces relevés : la balise pct a disparu au profit du mode test t=y, la découverte de politique suit le DNS Tree Walk, et la balise np= couvre les sous-domaines inexistants — cible favorite des usurpations « techniques ». L'en-tête v=DMARC1 reste rétro-compatible. Une politique aboutie pour un domaine hospitalier ressemble à :

v=DMARC1; p=reject; rua=mailto:dmarc@exemple.fr; sp=reject; np=reject

HDS, CaRE, NIS2 : un cadre qui pousse dans le même sens

Le secteur n'avance pas seul : trois cadres poussent, chacun à sa manière, vers le courrier authentifié.

La certification HDS encadre l'hébergement des données de santé : un établissement ou son prestataire doit confier ces données à un hébergeur certifié. C'est un socle nécessaire, mais il ne dit rien du canal e-mail : un hôpital peut être irréprochable sur l'hébergement de son dossier patient et laisser son domaine librement usurpable. Les deux sujets sont disjoints, et le second est longtemps resté dans l'angle mort.

Le programme CaRE, lancé fin 2023 pour accélérer la cybersécurité des établissements de santé, a changé la donne : financements fléchés, audits de la surface exposée sur Internet, exercices de crise. La sécurisation des domaines — DNS, authentification du courrier — entre naturellement dans ce mouvement, parce qu'elle coche les deux cases du programme : peu coûteuse, à effet immédiat.

NIS2, enfin, fait entrer une partie des acteurs de santé dans le périmètre des entités essentielles : gestion des risques documentée, mesures de protection proportionnées, notification des incidents. La directive ne cite pas DMARC nommément — comme la plupart des textes, elle impose un résultat, pas un moyen. Mais un domaine laissé en p=none malgré des rapports montrant l'abus devient une position difficile à défendre devant un auditeur ou une autorité.

S'y ajoute une pression sans texte de loi : depuis 2024, Gmail et Yahoo exigent une authentification des expéditeurs en volume, et Microsoft a suivi en 2025. Des rappels de rendez-vous qui n'arrivent plus, ce sont des consultations manquées — la délivrabilité est ici un sujet de santé publique avant d'être un sujet marketing.

Remédier avec les moyens d'une DSI hospitalière

La remédiation DMARC d'un établissement de santé ne peut pas être pensée comme celle d'une banque : pas d'équipe dédiée, des astreintes déjà saturées, un système d'information où le dossier patient passera toujours devant le DNS. La démarche doit en tenir compte — et c'est possible, parce que DMARC se prête bien à l'effort discontinu.

La première étape ne comporte aucun risque : publier p=none avec une adresse de rapport et laisser les données s'accumuler. Aucun message n'est bloqué, l'inventaire se construit tout seul — la messagerie de l'établissement (souvent Microsoft 365 ou un hébergement mutualisé), la plateforme de prise de rendez-vous, les outils de paie et de ressources humaines, les lettres d'information institutionnelles, les serveurs de résultats. Chaque source identifiée est ensuite alignée — SPF, DKIM — au fil de l'eau, entre deux urgences.

Le deuxième geste est le verrouillage des domaines qui n'émettent rien : quelques minutes par domaine, un gain définitif. Le troisième est le durcissement par paliers du domaine principal — quarantine puis reject, en s'appuyant sur le mode test t=y de DMARCbis pour jalonner la montée. À chaque palier, les rapports disent si un flux légitime serait touché avant qu'il le soit réellement.

Le facteur limitant n'est presque jamais la technique, c'est le temps d'analyse : des rapports XML bruts, personne n'en lira à l'hôpital. L'exploitation outillée — agrégation, identification des sources, alertes — ramène le sujet à quelques décisions par mois, un format compatible avec une DSI mutualisée. Le tour complet du sujet pour le secteur, prestataires et logiciels métier compris, est balisé dans le guide consacré au courrier des établissements de santé.

L'usurpation d'un domaine de santé est un risque patient

Il reste à nommer ce qui distingue vraiment ce corpus de tous les autres : la nature du risque. L'usurpation d'un domaine bancaire vole de l'argent ; le baromètre des banques françaises montre un secteur qui l'a compris de longue date, poussé par la fraude et par son régulateur. L'usurpation d'un domaine de santé, elle, atteint des personnes au moment où elles sont vulnérables.

Un faux message de résultats qui redirige vers un portail contrefait récolte des identités complètes. Une fausse annulation de consultation retarde un soin. Une fausse facture de séjour détourne le paiement d'une famille. Un faux message de la direction à un soignant ouvre la porte du système d'information — et l'on retombe sur le scénario du rançongiciel, celui qui déprogramme des blocs opératoires. Dans chacun de ces scénarios, le domaine usurpé est l'instrument, et la victime finale n'est pas l'établissement : c'est le patient.

C'est pourquoi la protection du domaine relève de la sécurité des soins au même titre que l'hygiène des mains — une mesure de prévention peu coûteuse dont l'absence ne se voit qu'au moment de l'incident. Les mécanismes par lesquels un domaine non protégé se fait exploiter, et les contre-mesures dans l'ordre utile, sont détaillés dans empêcher le phishing au nom d'un domaine.

En résumé

La santé française cumule tout ce qui attire l'usurpation : des données irrévocables, une dépendance vitale à la continuité de service, une surface humaine sous tension — et un paysage d'une hétérogénéité extrême, du CHU audité à l'EHPAD sans informaticien. La posture DMARC de ce paysage se mesure au DNS public, domaine par domaine ; la lecture utile n'est pas « avoir un enregistrement » mais « appliquer une politique », et p=none n'a jamais bloqué une seule usurpation. Les schémas structurels — CHU en avance relative, longue traîne, domaines multiples et dormants, enregistrements invalides — désignent des chantiers dont le premier ne coûte presque rien. HDS, CaRE et NIS2 poussent dans la même direction, chacun par son levier. Les chiffres du mois, eux, vivent dans l'édition mensuelle de l'Observatoire, remise à jour relevé après relevé.

Le prolongement tient en deux gestes. Un passage du domaine d'un établissement dans l'analyseur en ligne situe en quelques secondes sa position sur la même échelle que le baromètre — présence, validité, politique effective, sous-domaines. Et créer un compte ouvre le suivi continu, rapports agrégés à l'appui, pour mener la politique vers p=reject au rythme qu'une DSI hospitalière peut réellement tenir.