L'identité est un faisceau d'indices
Comment vérifier qui a réellement envoyé un e-mail ?
Vérifiez le nom, l'adresse complète, le domaine, le Reply-To, le contexte et les résultats d'authentification, puis confirmez les demandes sensibles par un canal indépendant.
Une seule information ne suffit pas à prouver l'identité d'un expéditeur. Un logo se copie, un nom d'affichage aussi, et même un domaine qui semble correct doit être replacé dans le contexte de la demande.
Vérifier l'expéditeur du plus visible au plus fiable
- 1
Afficher l'adresse complète
Ne vous contentez pas du nom affiché par l'application.
- 2
Examiner le domaine
Cherchez lettres remplacées, mots ajoutés ou sous-domaines trompeurs.
- 3
Comparer le Reply-To
Une destination de réponse inattendue doit avoir une explication claire.
- 4
Tester la cohérence du scénario
Une facture ou un changement bancaire inattendu reste suspect même avec une identité plausible.
- 5
Regarder les en-têtes si nécessaire
SPF, DKIM, DMARC et les en-têtes Received peuvent aider à comprendre l'origine technique.
- 6
Confirmer ailleurs
Pour une demande importante, utilisez un site, une application ou un numéro déjà connu.
Ce que chaque indice peut prouver
| Indice | Utile pour | Limite |
|---|---|---|
| Nom d'affichage | Reconnaître l'identité revendiquée | Très facile à copier |
| Adresse From | Vérifier la boîte et le domaine annoncés | Peut être usurpée |
| Reply-To | Repérer une autre destination de réponse | Peut être légitime dans certains services |
| SPF/DKIM/DMARC | Tester l'alignement du message avec les règles du domaine | Ne prouve pas que le domaine lui-même est digne de confiance |
| Canal indépendant | Confirmer la demande auprès de la vraie personne ou entreprise | Doit venir d'une source déjà fiable |
Ne répondez pas au message pour le vérifier
Si un attaquant contrôle la boîte ou le fil de discussion, une réponse lui demande simplement de confirmer sa propre histoire.
Pour les paiements, réinitialisations de compte, documents à signer ou changements de coordonnées, passez par un canal que vous connaissiez avant de recevoir le message.
La vérification devient solide quand plusieurs indices techniques et contextuels convergent et que la demande sensible résiste à un contrôle indépendant.
Replacez cette menace dans son contexte
Sources et lectures complémentaires
Besoin d’une boîte séparée pour une interaction courte ?
Un e-mail temporaire peut limiter l’exposition de votre adresse durable lorsque la récupération future n’est pas importante. C’est une couche de confidentialité, pas un remplacement de la sécurité du compte.
Créer un e-mail temporaire