DORA et la messagerie : ce que le règlement attend de l'authentification email

DMARC dans le cadre DORA

DMARC répond à plusieurs exigences DORA à la fois, ce qui en fait un contrôle à fort effet de levier :

• Protection (pilier 1). En politique d'application, DMARC empêche l'usurpation directe du domaine — une mesure de protection concrète et durable contre un vecteur d'attaque de premier plan.
• Détection (pilier 1). Les rapports agrégés révèlent en continu qui émet au nom de l'entité, y compris des sources illégitimes ou des prestataires oubliés. C'est un capteur permanent branché sur la surface d'exposition.
• Gestion des incidents (pilier 2). L'historique des rapports et de la posture documente la diligence de l'entité et aide à qualifier un incident d'usurpation quand il survient.
• Risque tiers (pilier 4). Un parc d'envoi inclut presque toujours des prestataires (facturation, relevés, marketing, signature électronique). Cartographier et aligner ces sources, c'est exactement l'inventaire de dépendances que DORA réclame côté messagerie.

Comme pour toute institution qui envoie du courrier en volume, le raisonnement de fond est celui développé pour DMARC dans le secteur bancaire : les marques financières sont les plus usurpées au monde, et l'application de DMARC est la première ligne de défense structurelle.

Le piège du domaine grand public

Un point mérite une attention particulière pour les groupes financiers. Beaucoup disposent d'un domaine corporate soigné et protégé — celui des communiqués et des relations investisseurs — tandis que le domaine de marque grand public, celui depuis lequel les clients reçoivent réellement relevés et alertes, accuse du retard en p=none. Les attaquants ne visent pas le domaine corporate : ils visent celui que les clients reconnaissent et à qui ils font confiance.

Sous DORA, cette asymétrie est un angle mort dangereux. Toute évaluation de conformité doit porter en priorité sur le domaine que les clients voient dans leur boîte, pas seulement sur la maison mère. Nos pages de vérification par domaine donnent le verdict du domaine exact saisi, ce qui permet de distinguer sans ambiguïté un corporate protégé d'un grand public exposé.

La feuille de route de mise en conformité

La séquence est celle de tout grand expéditeur, exécutée avec la rigueur documentaire qu'exige DORA :

1. Cartographier l'ensemble du parc d'envoi, métier par métier, région par région, prestataire par prestataire. Publier DMARC en p=none et exploiter les rapports pour découvrir les sources insoupçonnées.
2. Aligner chaque source légitime en SPF et DKIM, en visant l'alignement DKIM durable.
3. Traiter chaque domaine de marque séparément, avec une priorité au domaine grand public.
4. Monter en politique vers quarantine puis reject, en surveillant les rapports — la méthode complète est dans atteindre p=reject sans casser ses emails.
5. Documenter et conserver. Archiver rapports, décisions et historique de posture : c'est la matière probante que DORA exige, et elle se réutilise telle quelle dans un dispositif ISO 27001.

Si le groupe relève aussi de NIS2 pour ses activités non strictement financières, les deux chantiers se mènent comme un seul : le socle d'authentification est identique, seul le régime de contrôle change, comme détaillé côté NIS2 et authentification email.

Classification, notification et le rôle de l'email

DORA impose de classifier les incidents liés aux TIC et de déclarer les plus graves aux autorités compétentes dans des délais courts, avec un rapport initial, un rapport intermédiaire puis un rapport final. Les critères de gravité incluent le nombre de clients touchés, la durée de l'incident, son étendue géographique et les pertes financières — autant de seuils qu'une campagne d'usurpation réussie peut faire franchir rapidement. Un faux email qui semble venir de la banque et détourne les identifiants de milliers de clients n'est pas un incident mineur : c'est potentiellement un incident majeur déclarable, avec toute la charge de notification, d'enquête et de communication que cela implique.

D'où l'intérêt d'un contrôle qui agit à la racine. Chaque message usurpé que DMARC bloque en amont est un incident qui n'a pas lieu — donc pas de seuil franchi, pas de déclaration, pas d'enquête réglementaire. À l'inverse, l'absence d'authentification laisse ouverte une voie d'incident qu'il faudra gérer réactivement, sous la pression du chronomètre réglementaire. Réduire la fréquence des incidents d'usurpation, c'est réduire directement la charge de notification DORA — un argument opérationnel autant que sécuritaire.

Un scénario concret

Prenons une société de gestion de taille moyenne. Un attaquant usurpe le domaine grand public depuis lequel les clients reçoivent leurs relevés, resté en p=none. Il envoie à un portefeuille de clients un email parfaitement crédible annonçant un « changement de coordonnées bancaires pour les rachats », affichant l'adresse authentique de la société. Quelques clients suivent l'instruction ; des fonds partent vers un compte contrôlé par l'attaquant.

Déroulé DORA : l'événement dépasse probablement les seuils de gravité (clients touchés, pertes financières), déclenchant une notification aux autorités, une enquête interne, une communication de crise, et l'examen — inévitable — de la question « pourquoi le domaine était-il usurpable ? ». La réponse « il était en p=none » est intenable devant un régulateur qui attend une résilience démontrable. Le même incident, avec le domaine en p=reject, n'aurait tout simplement pas atteint les boîtes des clients : le message falsifié aurait été rejeté à la remise. C'est la différence entre un contrôle qui se contente d'observer et un contrôle qui protège.

Ce scénario n'a rien d'exceptionnel ; il se rejoue, à quelques variantes près, dès qu'un domaine financier reste en observation seule. Et il illustre pourquoi DORA insiste tant sur la démonstration : ce n'est pas d'avoir un plan qui compte, mais de pouvoir prouver que le contrôle était en place, actif et surveillé au moment des faits. Un enregistrement DMARC appliqué, assorti de son historique de rapports, est précisément ce type de preuve — daté, public, infalsifiable.

Où en est réellement le domaine

Comme toujours, la première marche est gratuite et immédiate. Un passage du domaine depuis lequel les clients reçoivent réellement du courrier dans notre analyseur DMARC gratuit donne un verdict instantané ; l'Observatoire DMARC situe ensuite l'institution parmi ses pairs, en suivant la posture publique des grandes marques financières dans plusieurs pays.

Amener un grand parc réglementé à p=reject avec une trace d'audit exploitable est précisément la mission de Thomas, le RSSI virtuel : il identifie chaque source d'envoi, produit le DNS exact à publier, évalue la préparation par domaine sur données glissantes, et signale quand chaque domaine peut être appliqué sans risque pour le courrier légitime. Analyser un domaine gratuitement · explorer l'Observatoire · commencer avec Thomas.