La signature comme surface d'attaque

Votre signature mail contient typiquement : nom, fonction, téléphone direct, mail, logo, adresse. C'est exactement ce qu'un attaquant cherche pour construire un spear phishing crédible. Réduisez à l'utile : nom, fonction, mail. Le téléphone direct est optionnel.

La règle des destinataires multiples

Pour envoyer à plusieurs personnes externes : utilisez la copie cachée (Cci/Bcc) pour éviter qu'elles voient les mails des autres. C'est une exigence RGPD basique (fuite d'adresses mail).

Au-delà de 10 destinataires externes, utilisez un outil d'emailing dédié (Brevo, Sarbacane). L'envoi en masse par Outlook finit en spam et expose vos contacts.

Les pièces jointes

Évitez d'attacher de gros fichiers (>5 Mo). Préférez un lien vers OneDrive/SharePoint avec expiration. Avantages : taille du mail réduite, traçabilité (qui a consulté), révocation possible.

Pour les contrats : PDF signé, jamais Word sans verrouillage. Le Word peut être modifié et retransmis avec des changements invisibles.

Le délai de réponse

Une réponse rapide n'est pas une obligation. Si vous travaillez sur un dossier sensible, prenez 24 heures. Beaucoup de fraudes (FOVI, faux fournisseur) exploitent la pression pour faire valider en urgence.

L'archivage et la suppression

Conservez vos mails pros 3 à 7 ans selon votre secteur (obligations comptables, fiscales). Au-delà, supprimez ou archivez en hors-ligne. Une boîte mail de 10 ans avec tous les détails clients est une mine d'or pour un attaquant.

Le piège des notifications « publiques »

Les boîtes « contact@ », « info@ », « support@ » reçoivent beaucoup de spam et de phishing. Limitez leur accès aux personnes qui en ont réellement besoin. Et n'exposez pas une boîte personnelle (prenom.nom@) comme contact principal sur le site web — préférez contact@ ou commercial@.

La signature DMARC, SPF, DKIM

Sujet technique, mais essentiel : faites configurer DMARC, SPF et DKIM sur votre domaine par votre DSI ou votre hébergeur mail. Ces protocoles empêchent un attaquant d'envoyer des mails en se faisant passer pour vous. C'est gratuit, ça prend une heure, et c'est la base de l'hygiène mail en 2026.

Pour tester : utilisez mxtoolbox.com et entrez votre domaine. S'il y a des « warning » ou « error » sur DMARC/SPF/DKIM, traitez en priorité.