Quelqu’un envoie des e-mails en se faisant passer pour mon domaine
La situation est déstabilisante : un client vous appelle parce qu'il a reçu une facture étrange venant de votre adresse, ou vous découvrez qu'une campagne de phishing circule sous le nom de votre entreprise. Premier réflexe naturel — « on a piraté ma boîte mail » — et il est presque toujours faux. Dans l'immense majorité des cas, aucun compte n'a été compromis et rien n'est sorti de votre serveur.
La raison tient à une faiblesse historique du protocole SMTP : l'adresse d'expéditeur affichée dans un e-mail est un simple champ de texte, que n'importe quel serveur peut remplir avec ce qu'il veut. Écrire « De : contact@votre-entreprise.fr » ne demande aucune autorisation. C'est exactement comme écrire une fausse adresse au dos d'une enveloppe. Les mécanismes SPF, DKIM et DMARC existent précisément pour corriger ce défaut — et tant qu'ils ne sont pas correctement configurés, votre domaine reste utilisable par n'importe qui.
Deux scénarios très différents (ne pas les confondre)
Avant toute chose, il faut déterminer lequel des deux cas vous concerne, car les correctifs n'ont rien à voir. Premier cas, l'usurpation exacte : l'attaquant écrit littéralement votre domaine dans le champ expéditeur, contact@votre-entreprise.fr. C'est le cas le plus fréquent, et c'est aussi le seul que vous pouvez bloquer techniquement, en publiant les bons enregistrements DNS.
Second cas, le domaine ressemblant : l'attaquant a enregistré un domaine proche du vôtre — votre-entreprlse.fr, votre-entreprise.co, votre-entreprise-facturation.fr — et envoie depuis celui-ci, avec une authentification parfaitement valide sur son propre domaine. Aucun réglage sur votre domaine ne peut l'empêcher : ce domaine ne vous appartient pas. La réponse relève alors de la surveillance, du signalement et du droit des marques.
Un troisième cas, plus rare, mérite d'être écarté d'emblée : la compromission réelle d'une boîte. Signes distinctifs — les messages frauduleux apparaissent dans vos éléments envoyés, des règles de transfert inconnues existent dans la boîte, ou vos correspondants reçoivent des réponses à des fils de discussion réels. Dans ce cas, changez immédiatement le mot de passe, activez la double authentification et vérifiez les règles de transfert.
Lire les en-têtes pour trancher en deux minutes
Demandez à la personne qui a reçu le message frauduleux de vous transmettre l'e-mail original avec ses en-têtes complets — dans Gmail, menu à trois points puis « Afficher l'original » ; dans Outlook, « Propriétés du message ». Ne vous contentez jamais d'une capture d'écran : toute l'information utile est dans les en-têtes, invisibles à l'affichage normal.
Cherchez la ligne Authentication-Results. Elle contient le verdict rendu par le serveur destinataire sur les trois mécanismes, sous la forme spf=..., dkim=... et dmarc=.... Si vous lisez spf=fail ou dmarc=fail avec votre domaine, vous êtes dans le cas de l'usurpation exacte — et le message est passé quand même, ce qui signifie que votre politique DMARC ne demande pas encore son rejet. Si tout est en pass mais que le domaine mentionné n'est pas exactement le vôtre, relisez-le caractère par caractère : vous avez affaire à un domaine ressemblant.
Regardez aussi la ligne Return-Path (l'adresse technique de retour) : elle diffère souvent de l'adresse affichée dans le message, et trahit le véritable domaine émetteur.
Authentication-Results: mx.google.com;
spf=fail (google.com: domain of contact@votre-entreprise.fr
does not designate 203.0.113.42 as permitted sender)
dkim=none;
dmarc=fail (p=NONE) header.from=votre-entreprise.fr
Return-Path: <bounce@serveur-inconnu.example>Bloquer l’usurpation exacte : la séquence SPF, DKIM, DMARC
Ces trois enregistrements DNS travaillent ensemble et doivent être posés dans cet ordre. SPF déclare la liste des serveurs autorisés à envoyer pour votre domaine : votre hébergeur, votre solution d'e-mailing, votre CRM, votre ERP. Recensez-les tous avant de publier, sinon vous couperez des envois légitimes. DKIM ajoute une signature cryptographique à chaque message, qui prouve qu'il n'a pas été altéré en route ; il s'active chez chacun de vos prestataires d'envoi.
DMARC est la pièce décisive, celle qui manque presque toujours. Il indique aux serveurs destinataires quoi faire d'un message qui échoue les contrôles précédents. Publié en p=none, il observe sans rien bloquer — c'est là que s'arrêtent la plupart des domaines, ce qui explique que l'usurpation continue de passer. La protection réelle commence à p=quarantine, et devient complète à p=reject.
La marche à suivre, sans casser vos envois : publiez d'abord DMARC en p=none avec une adresse de rapports, laissez tourner deux à quatre semaines, lisez les rapports pour identifier les sources d'envoi légitimes que vous auriez oubliées, corrigez votre SPF et votre DKIM en conséquence, puis passez à p=quarantine et enfin à p=reject.
; SPF — un seul enregistrement SPF par domaine
votre-entreprise.fr. TXT "v=spf1 include:_spf.google.com include:sendgrid.net -all"
; DMARC — phase 1 : observation
_dmarc.votre-entreprise.fr. TXT "v=DMARC1; p=none; rua=mailto:rapports@votre-entreprise.fr; fo=1"
; DMARC — phase finale : rejet
_dmarc.votre-entreprise.fr. TXT "v=DMARC1; p=reject; rua=mailto:rapports@votre-entreprise.fr; pct=100"; Un domaine sans e-mail reste usurpable : bloquez-le explicitement
vieux-domaine.fr. TXT "v=spf1 -all"
_dmarc.vieux-domaine.fr. TXT "v=DMARC1; p=reject;"
vieux-domaine.fr. MX 0 .Face à un domaine ressemblant : surveiller et signaler
Si l'attaquant utilise son propre domaine, changez de registre. Signalez le domaine frauduleux à son registrar (recherche WHOIS pour l'identifier) ainsi qu'à l'hébergeur du site associé : c'est la voie la plus rapide pour obtenir une suspension. En France, signalez également la campagne sur la plateforme Phishing Initiative et sur cybermalveillance.gouv.fr, et prévenez vos clients par un canal que vous maîtrisez — les attaquants comptent sur votre silence.
En prévention, deux mesures ont un bon rapport effort/résultat. Réservez vous-même les variantes évidentes de votre domaine (fautes de frappe courantes, extensions .com/.net/.eu) et verrouillez-les avec les enregistrements ci-dessus. Et publiez un enregistrement CAA, qui restreint la liste des autorités de certification autorisées à émettre un certificat pour votre domaine — une protection complémentaire contre les certificats frauduleux.
Pour vérifier où vous en êtes sans manipuler le DNS, un audit de surface lit vos enregistrements publics et vous indique si SPF, DMARC, CAA et MTA-STS sont présents, et surtout si votre politique DMARC bloque réellement quelque chose ou se contente d'observer.
[ FAQ // QUESTIONS FRÉQUENTES ]
▸Mon compte e-mail a-t-il été piraté ?
Le plus souvent non. L'usurpation d'expéditeur ne nécessite aucun accès à votre boîte : le champ « De » d'un e-mail se remplit librement. Les vrais signes de compromission sont différents — messages frauduleux présents dans vos éléments envoyés, règles de transfert que vous n'avez pas créées, connexions depuis des lieux inconnus dans l'historique de sécurité de votre compte.
▸J’ai déjà SPF et DMARC, pourquoi l’usurpation continue-t-elle ?
Regardez la valeur de p= dans votre enregistrement DMARC. En p=none, vous recevez des rapports mais aucun message n'est bloqué : la protection est en observation, pas en application. Seuls p=quarantine et p=reject demandent aux serveurs destinataires d'écarter les messages non authentifiés. C'est la cause numéro un des usurpations qui continuent malgré une configuration « en place ».
▸Passer en p=reject risque-t-il de bloquer mes propres e-mails ?
Oui, si une source d'envoi légitime a été oubliée dans votre SPF ou n'a pas de DKIM — outil de facturation, formulaire du site, plateforme de newsletter, ERP. C'est exactement le rôle de la phase p=none : les rapports agrégés listent toutes les sources qui envoient en votre nom. Ne passez à quarantine puis reject qu'une fois cette liste complète et propre.
▸Puis-je empêcher quelqu’un d’utiliser un domaine ressemblant au mien ?
Pas techniquement : ce domaine ne vous appartient pas, et il peut être parfaitement authentifié sur lui-même. Vos leviers sont le signalement au registrar et à l'hébergeur, la voie juridique si votre marque est déposée, l'information de vos clients, et en prévention le dépôt des variantes les plus évidentes de votre nom de domaine.
[ PASSEZ À L’ACTION ]
Votre site est-il concerné ?
Lancez un audit de surface gratuit et obtenez en quelques secondes la liste exacte de vos failles, avec le correctif pour chacune. Anonyme, sans inscription.
▶ Auditer mon site[ À LIRE AUSSI ]
[ CheckCyber // MIS À JOUR LE 2026-07-25 ]