Sécurité des e-mails dans le cloud : un guide pour les entreprises modernes

La manière dont les entreprises communiquent a évolué. La plupart des organisations gèrent leurs e-mails via Microsoft 365 ou Google Workspace ; les équipes sont réparties sur différents sites et utilisent divers appareils, et la notion de périmètre réseau fixe a largement disparu. L'approche de sécurité visant à protéger ces boîtes de réception doit tenir compte de cette réalité.

La sécurité de la messagerie dans le cloud désigne la catégorie d'outils spécialement conçus pour cet environnement. Contrairement aux solutions traditionnelles sur site, conçues pour une époque où les e-mails étaient hébergés sur des serveurs que vous possédiez et gériez vous-même, la sécurité de la messagerie dans le cloud intervient là où vos e-mails sont réellement stockés : elle les protège sans matériel, sans perturber les enregistrements MX dans de nombreux déploiements et sans les coûts opérationnels liés à la maintenance d'une infrastructure physique.

Ce guide explique ce qu’est la sécurité des e-mails dans le cloud, comment elle fonctionne, les critères à prendre en compte lors du choix d’une solution et pourquoi l’approche « cloud-native » est devenue la norme pour les entreprises qui ont besoin d’une protection efficace de leur boîte de réception. Il présente également comment INKY, le logiciel de sécurité des e-mails dans le cloud de Kaseya, s’inscrit dans ce contexte.

Qu'est-ce que la sécurité des e-mails dans le cloud ?

La sécurité des e-mails dans le cloud désigne un ensemble d'outils et de services fournis depuis le cloud qui protègent les comptes de messagerie, les communications et les données contre les menaces. Elle filtre les contenus malveillants avant ou après l'arrivée des messages dans la boîte de réception, détecte les usurpations d'identité et les anomalies comportementales, empêche les données sensibles de quitter l'entreprise par e-mail et guide les utilisateurs lorsqu'un message suspect parvient à passer.

Ce terme recouvre un large éventail d'architectures. Une passerelle de messagerie sécurisée (SEG) s'interpose dans le flux de messagerie et analyse les messages avant leur livraison. Une plateforme intégrée de sécurité de messagerie dans le cloud (ICES) se connecte directement à Microsoft 365 ou à Google Workspace via une API, analysant ainsi la boîte de réception sans nécessiter de modification des enregistrements MX. La plupart des déploiements modernes utilisent l'une de ces solutions ou une combinaison des deux.

Ce qui distingue la sécurité des e-mails dans le cloud de ses prédécesseurs, ce n'est pas seulement l'environnement dans lequel elle s'exécute, mais aussi son mode de fonctionnement. Les solutions natives du cloud bénéficient d’informations partagées sur les menaces, mises à jour en temps réel à l’échelle mondiale, de modèles d’apprentissage automatique entraînés sur de vastes ensembles de données et d’architectures de déploiement évolutives ne nécessitant aucun achat de matériel. Le marché de la sécurité des e-mails dans le cloud reflète cette évolution : évalué à environ 5,55 milliards de dollars en 2025, il devrait atteindre près de 9,73 milliards de dollars d’ici 2030, selon Mordor Intelligence.

Pour une vue d'ensemble du fonctionnement de la sécurité des e-mails dans tous les environnements et face à tous les types de menaces, consultez notre guide intitulé « Qu'est-ce que la sécurité des e-mails? ».

Sécurité des e-mails dans le cloud ou sur site : qu'est-ce qui a changé et pourquoi ?

Pour les entreprises qui exploitent encore une infrastructure de messagerie sur site ou qui envisagent de migrer, cette comparaison revêt une importance particulière. Si ces deux approches visent à protéger la messagerie, elles diffèrent considérablement quant à la manière dont elles y parviennent, à leurs coûts d'exploitation et aux environnements pour lesquels elles sont réellement conçues.

La sécurité des e-mails sur site repose sur des appliances matérielles ou des serveurs gérés par l'équipe informatique de l'entreprise. Les signatures de menaces et les mises à jour des règles sont appliquées selon un calendrier prédéfini, et non en temps réel. Pour faire face à l'évolution des besoins, il faut acquérir et configurer davantage de matériel. Lorsque les collaborateurs travaillent à distance ou accèdent à leurs e-mails depuis des appareils mobiles, la protection n'est pas homogène, sauf si des configurations supplémentaires ont été mises en place.

La sécurité des e-mails dans le cloud allège cette charge opérationnelle. Les informations sur les menaces sont mises à jour en continu et simultanément pour tous les clients. La mise à l'échelle est automatique. La protection est homogène, quel que soit l'endroit d'où l'utilisateur se connecte ou l'appareil qu'il utilise, car la sécurité est assurée au niveau de la plateforme de messagerie, et non au niveau du périmètre réseau.

Cette évolution s'est accélérée en raison de l'évolution de la messagerie d'entreprise. Alors que la plupart des organisations utilisent Microsoft 365 ou Google Workspace, il n'est plus vraiment logique, d'un point de vue pratique, de maintenir une infrastructure de sécurité sur site pour protéger des systèmes qui n'existent plus sur site. La sécurité de la messagerie dans le cloud a été conçue pour l'environnement dans lequel la plupart des entreprises opèrent déjà.

Comment fonctionne la sécurité des e-mails dans le cloud ?

Le fonctionnement de la sécurité des e-mails dans le cloud dépend du mode de déploiement de la solution ; la compréhension de ces modèles permet d'expliquer pourquoi certains produits gèrent mieux certaines catégories de menaces que d'autres, et d'identifier les failles qui peuvent apparaître.

Le déploiement via une passerelle achemine les e-mails via la plateforme de sécurité dans le cloud avant qu'ils n'atteignent le serveur de messagerie. Les enregistrements MX sont mis à jour pour pointer vers le fournisseur de sécurité, de sorte que chaque message entrant passe par la passerelle pour y être inspecté avant d'être distribué. Ce modèle convient particulièrement aux organisations qui souhaitent que leur trafic soit filtré en amont de leur plateforme de messagerie.

Le déploiement basé sur une API s'intègre directement à Microsoft 365 ou Google Workspace via des API natives. Aucune modification des enregistrements MX n'est nécessaire. La plateforme de sécurité se connecte à l'environnement de messagerie cloud, offre une visibilité sur les messages entrants, sortants et internes, et peut mettre en quarantaine ou signaler des messages après leur livraison. Ce modèle est plus rapide à déployer, préserve le flux de messagerie existant et permet d'analyser les e-mails internes échangés entre les utilisateurs, ce que les outils basés sur une passerelle ne peuvent pas faire.

De nombreuses entreprises utilisent les deux : une passerelle pour le filtrage en première ligne des menaces connues à fort volume, et une couche basée sur une API pour une analyse comportementale plus approfondie et une visibilité sur la messagerie interne.

Quel que soit le modèle de déploiement, les plateformes de sécurité des e-mails dans le cloud s'appuient sur plusieurs mécanismes de détection fonctionnant en parallèle : vérification de la réputation et des listes noires au niveau de la connexion ; analyse du contenu et des pièces jointes à l'aide de plusieurs moteurs ; analyse comportementale et basée sur l'IA permettant d'identifier les anomalies dans le comportement de l'expéditeur, le ton du message et les schémas relationnels ; et recours à la vision par ordinateur et au traitement du langage naturel pour détecter l'usurpation d'identité de marque, le phishing par code QR et les signaux linguistiques d'ingénierie sociale.

Qu'est-ce que la sécurité intégrée de la messagerie dans le cloud (ICES) ?

La sécurité intégrée de la messagerie dans le cloud, communément abrégée en ICES, est une architecture spécifique relevant de la catégorie de la sécurité de la messagerie dans le cloud qui mérite une explication à part entière, car elle illustre l'évolution du marché et la manière dont sont conçues les solutions modernes les plus efficaces.

Les passerelles de messagerie sécurisées traditionnelles ont été conçues pour les environnements sur site, où le filtrage au niveau du périmètre était pertinent. À mesure que les entreprises migraient vers Microsoft 365 et Google Workspace, ces passerelles se sont adaptées pour filtrer le trafic entrant, mais elles ne pouvaient pas voir à l’intérieur même de l’environnement de messagerie dans le cloud. Aucune visibilité sur les e-mails internes entre les utilisateurs. Une visibilité limitée sur le trafic sortant. Aucune capacité à analyser le contexte comportemental propre à la plateforme cloud.

Les plateformes ICES résolvent ce problème en s’intégrant au cœur de l’environnement de messagerie plutôt qu’en se plaçant en amont. Comme elles se connectent via les API propres à la plateforme, elles analysent chaque message présent dans l’environnement, et pas seulement le trafic entrant. Elles analysent l’historique des échanges entre l’expéditeur et le destinataire, signalent les messages qui s’écartent des schémas de communication établis et détectent les compromissions de comptes en se basant sur des anomalies comportementales invisibles pour les outils de protection périmétrique. Le déploiement ne prend généralement que quelques minutes, sans perturber le flux de messagerie, ce qui rend ICES particulièrement adapté aux organisations qui ont besoin d’étendre rapidement leur couverture, ainsi qu’aux MSP qui déploient simultanément une protection sur plusieurs environnements clients.

Principales fonctionnalités d'une solution de sécurité de messagerie électronique basée sur le cloud

Les produits de sécurité de la messagerie dans le cloud n'offrent pas tous les mêmes fonctionnalités, et l'écart entre une solution basique et une solution complète peut être considérable. Voici les fonctionnalités essentielles qui caractérisent une solution complète de sécurité de la messagerie dans le cloud :

• Protection contre les menaces entrantes : analyse de tous les e-mails entrants à la recherche de tentatives d'hameçonnage, de logiciels malveillants, de spam, de tentatives de fraude BEC et d'usurpation d'identité. Il s'agit de la fonctionnalité de base de toute solution, bien que le niveau de détection varie considérablement d'une solution à l'autre.
• Protection du courrier sortant : analyse des e-mails sortants à la recherche d'infractions aux règles de prévention des fuites de données (DLP) et de signes d'activité suspecte sur les comptes. Cette fonctionnalité est souvent négligée dans les solutions de base, mais elle est essentielle pour garantir la conformité et détecter les tentatives de prise de contrôle de compte en cours.
• Protection du courrier interne : analyse des messages échangés entre les utilisateurs au sein de l'organisation. Cette fonctionnalité n'est disponible qu'avec les déploiements basés sur l'API ou ICES et constitue la principale ligne de défense contre les mouvements latéraux émanant d'un compte interne compromis.
• Analyse avancée des pièces jointes : mise en bac à sable des pièces jointes suspectes afin d'observer leur comportement avant leur distribution, ce qui permet de détecter les logiciels malveillants qui ne correspondent à aucune signature connue au moment de l'inspection.
• Analyse des URL au moment du clic : analyse des destinations des liens au moment où l'utilisateur clique dessus, et non pas uniquement lors de leur transmission, afin de détecter les URL qui ont été modifiées pour pointer vers du contenu malveillant après avoir passé l'inspection initiale.
• Surveillance DMARC : visibilité sur les résultats SPF, DKIM et DMARC, signalement des expéditeurs non autorisés et des utilisations non autorisées du domaine de l'organisation.
• Chiffrement des e-mails : protection des messages sensibles en transit et au repos, garantissant le respect des exigences de conformité dans les secteurs soumis à une réglementation.
• Avertissements et conseils destinés aux utilisateurs : affichage, directement dans la boîte de réception, d'explications contextuelles expliquant aux utilisateurs pourquoi un message semble suspect. Cela permet de transformer chaque message signalé en une occasion d'apprentissage et d'améliorer la qualité des menaces signalées par les utilisateurs.
• Gestion et reporting centralisés : une vue unifiée des menaces, de la quarantaine, des contrôles de politique et des rapports d'utilisation. Pour la gestion multi-environnements, la fonctionnalité multi-locataires est une exigence fondamentale.

Quels sont les risques auxquels répond la sécurité de la messagerie dans le cloud ?

Les environnements cloud introduisent des dynamiques spécifiques en matière de menaces liées à la messagerie électronique, que les outils sur site n'ont pas été conçus pour gérer. Voici les principales catégories de risques auxquelles s'attaque la sécurité de la messagerie dans le cloud, ainsi que ce qui fait de chacune d'elles un problème propre à l'ère du cloud.

sur le phishing et le spear-phishing Le phishing a évolué parallèlement à l’adoption de la messagerie cloud. Les attaquants exploitent désormais des plateformes cloud de confiance, notamment Microsoft 365, SharePoint et Google Drive, pour héberger des pages de phishing et diffuser des liens qui passent les contrôles de réputation, car ils proviennent de domaines légitimes. Le rapport de l’APWG sur les tendances en matière d’hameçonnage au deuxième trimestre 2025 a recensé 1 130 393 attaques d’hameçonnage au cours de cette période, soit une hausse de 13 % par rapport au premier trimestre. Les plateformes de sécurité de messagerie dans le cloud dotées d’une analyse des URL au moment du clic et d’une détection comportementale sont mieux à même de détecter ces attaques que les outils de passerelle s’appuyant sur des listes noires statiques.

Compromission des e-mails professionnels (BEC)
Le BEC est une menace « native du cloud » dans la mesure où elle prospère dans des environnements où les relations par e-mail s’étendent à plusieurs organisations et où les identités sont plus difficiles à vérifier d’un seul coup d’œil. Les attaquants usurpent l’identité de dirigeants, de fournisseurs ou de contacts financiers pour déclencher des virements bancaires ou obtenir la transmission d’identifiants, sans charge malveillante susceptible d’être détectée par un filtre basé sur les signatures. La détection du BEC nécessite d’analyser le contexte comportemental de la relation avec l’expéditeur, une tâche pour laquelle les plateformes ICES ont été spécialement conçues.

Prise de contrôle de compte et déplacement latéral
Dans un environnement de messagerie cloud, un compte compromis ne représente pas seulement un risque individuel. C'est un point de départ. Les attaquants utilisent les comptes dont ils ont pris le contrôle pour envoyer des messages de hameçonnage en interne, se déplacer latéralement vers d'autres services cloud et mettre en place des règles de transfert qui persistent même après la découverte de la compromission initiale. L'analyse interne des e-mails, qui n'est possible qu'avec un accès au niveau de l'API, constitue la principale ligne de défense.

Logiciels malveillants et vecteurs d’attaque « zero-day »
Les pirates continuent d’utiliser l’e-mail comme principal vecteur de diffusion de logiciels malveillants et de rançongiciels, en passant de plus en plus souvent par des services de stockage cloud légitimes afin de contourner l’analyse des pièces jointes. Le sandboxing avancé des pièces jointes et l’analyse comportementale constituent les défenses efficaces dans ce cas, lorsque la comparaison de signatures s’avère inefficace.

Usurpation de domaine et d'identité
Les environnements de messagerie dans le cloud facilitent l'envoi à grande échelle d'e-mails d'usurpation d'identité très convaincants. Les protocoles d'authentification permettent de lutter contre l'usurpation directe de domaine, mais les domaines similaires et la manipulation du nom d'affichage nécessitent une détection comportementale et visuelle pour être repérés.

Avantages de la sécurité des e-mails « cloud-native »

Le passage à une solution de sécurité de messagerie « cloud-native » élargit le champ des possibilités opérationnelles pour les entreprises qui doivent protéger leurs équipes dispersées. Les avantages sont particulièrement tangibles dans les domaines suivants :

• Rapidité de déploiement : les solutions basées sur des API et ICES se déploient en quelques minutes, sans modification des enregistrements MX et sans interruption du flux de messagerie existant. Les entreprises peuvent ainsi ajouter une couche de protection efficace à un environnement Microsoft 365 ou Google Workspace existant, sans avoir à prévoir de fenêtre de maintenance.
• Évolutivité : les solutions cloud s'adaptent automatiquement. L'ajout d'utilisateurs ou d'environnements ne nécessite ni achat de matériel ni planification des capacités, ce qui est important pour les organisations dont les effectifs varient et pour les MSP qui accueillent de nouveaux clients.
• Informations sur les menaces en temps réel : les informations sur les menaces sont mises à jour en continu et partagées à l'échelle mondiale. Une menace détectée dans un environnement permet d'améliorer la détection sur l'ensemble de la plateforme en quelques minutes, alors qu'il faut plusieurs jours pour diffuser les mises à jour des signatures vers les appareils sur site.
• Une protection homogène sur tous les appareils et tous les sites : la protection étant assurée au niveau de la plateforme de messagerie plutôt qu’au niveau du périmètre réseau, elle s’applique de la même manière aux ordinateurs portables d’entreprise, aux ordinateurs personnels et aux appareils mobiles. Cela revêt une importance particulière pour les équipes travaillant en mode hybride ou à distance, pour lesquelles le périmètre ne définit plus les limites de l’environnement.
• Réduction des coûts d'exploitation : aucun matériel à entretenir ni à mettre à jour, aucune mise à jour manuelle des signatures. Les améliorations apportées à la détection sont appliquées automatiquement. Pour les équipes informatiques réduites et les prestataires de services gérés (MSP), l'allègement de la charge de gestion est considérable.
• Aide à la mise en conformité : les fonctionnalités intégrées de prévention des fuites de données (DLP), de chiffrement, d'archivage et de journalisation permettent de respecter les normes HIPAA, RGPD, PCI DSS et d'autres référentiels, ce qui simplifie la préparation aux audits et l'application des politiques.

Problèmes de sécurité liés à la messagerie dans le cloud à prendre en compte

La sécurité de la messagerie dans le cloud simplifie grandement les choses, mais elle implique un certain nombre de considérations dont il faut tenir compte lors de la mise en œuvre et de la gestion au quotidien.

La simplicité du déploiement dans le cloud n'élimine pas le risque de mauvaise configuration, elle en modifie simplement la nature. Des autorisations insuffisantes, un chiffrement désactivé et des politiques DLP mal configurées comptent parmi les failles les plus courantes qui exposent les boîtes de réception à des menaces que la plateforme aurait pu bloquer. Il vaut la peine de consacrer du temps à un examen structuré de la configuration lors du déploiement.

Les plateformes basées sur des API créent également une nouvelle surface d'attaque. Les connexions entre l'outil de sécurité et l'environnement de messagerie, notamment les autorisations d'API et les relations de confiance entre services SaaS, nécessitent une gestion continue et ne se limitent pas à une simple configuration initiale. Considérer la sécurité des API comme un aspect secondaire à prendre en compte après le déploiement est l'une des erreurs les plus courantes lors de la mise en œuvre de solutions de sécurité de messagerie dans le cloud.

Un filtrage trop agressif engendre ses propres frictions. Lorsque des messages légitimes sont placés en quarantaine, les utilisateurs perdent confiance dans l'outil et les équipes informatiques passent du temps à examiner les faux positifs. Des processus clairs de vérification de la quarantaine, un réglage fin de la sensibilité de la détection et un mécanisme simple de signalement par les utilisateurs contribuent grandement à maintenir ces frictions à un niveau gérable.

Enfin, la sécurité des e-mails dans le cloud ne remplace pas les bonnes pratiques en matière de gestion des identités et des accès. En l'absence d'authentification multifactorielle (MFA), les mots de passe faibles et les droits d'accès trop larges créent des risques que les outils de sécurité des e-mails ne peuvent pas entièrement compenser. La charge de maintenance opérationnelle est moindre que dans un environnement sur site, mais les politiques de détection doivent faire l'objet d'une révision périodique et les guides destinés aux utilisateurs doivent être mis à jour au fur et à mesure que les menaces évoluent.

Les critères à prendre en compte lors du choix d'un service de sécurité de messagerie dans le cloud

Compte tenu de la grande diversité des services de sécurité des e-mails basés sur le cloud disponibles, le choix approprié dépend de l'environnement, du profil de risque de l'entreprise et de la capacité de l'équipe à le gérer. Voici les critères les plus importants :

1. Détection comportementale basée sur l'IA. La détection par signature permet de contrer les menaces connues. L'IA et l'analyse comportementale permettent de détecter les attaques inédites, ciblées et générées par l'IA que les systèmes basés sur les signatures ne parviennent pas à repérer. Privilégiez les solutions qui analysent l'historique des relations avec l'expéditeur, le ton du message et le comportement de livraison, plutôt que de se contenter de comparer le contenu à une liste noire statique.
2. Intégration via API avec Microsoft 365 et Google Workspace. Les solutions qui s'intègrent via API se déploient plus rapidement, préservent le flux de messagerie existant et permettent d'analyser les e-mails internes. Vérifiez que l'intégration est native avec les plateformes utilisées par l'entreprise et évaluez dans quelle mesure cette intégration va au-delà du simple filtrage des e-mails entrants.
3. Couverture des e-mails entrants, sortants et internes : une solution qui se contente d'analyser les e-mails entrants laisse subsister d'importantes lacunes. La prévention des fuites de données (DLP) pour les e-mails sortants et l'analyse des e-mails internes permettent de couvrir l'ensemble de la surface d'exposition aux menaces et constituent une nécessité absolue pour les organisations soumises à des exigences de conformité ou confrontées à des risques de piratage de comptes.
4. Conseils destinés aux utilisateurs : les bannières d'avertissement et les conseils prodigués au moment même où le risque se présente permettent de sensibiliser les utilisateurs sans nécessiter de sessions de formation distinctes. La clarté et la personnalisation des communications destinées aux utilisateurs varient considérablement d'un produit à l'autre, et cela se traduit par une réelle différence dans les comportements des utilisateurs.
5. Gestion multi-locataires : pour les organisations gérant plusieurs environnements, une interface unique permettant de contrôler les politiques par locataire constitue une exigence opérationnelle fondamentale. Renseignez-vous spécifiquement auprès des fournisseurs sur les capacités multi-locataires et sur la manière dont les modifications de politiques sont appliquées dans l'ensemble des environnements.
6. Rapidité de déploiement et assistance : un déploiement rapide et une assistance réactive après la mise en service permettent de réduire les risques lors du déploiement et des opérations courantes. Renseignez-vous auprès des fournisseurs sur la durée moyenne de déploiement et sur les modalités de l'assistance après la configuration initiale.

Protégez votre boîte de réception grâce à la solution de sécurité de messagerie « INKY »

INKY Il s'agit du logiciel de sécurité de messagerie dans le cloud de Kaseya, entièrement conçu pour les environnements dans lesquels la plupart des entreprises opèrent aujourd'hui.

INKY Il s'agit d'une plateforme intégrée de sécurité des e-mails dans le cloud (ICES). Elle se connecte à Microsoft 365, Google Workspace et Microsoft Exchange grâce à une intégration native, se déploie en quelques minutes sans modification des enregistrements MX et assure la protection des e-mails entrants, sortants et internes. Son analyse basée sur l'IA générative va au-delà de la simple comparaison de signatures : elle utilise la vision par ordinateur, le traitement du langage naturel et la modélisation comportementale pour détecter les attaques de phishing, de BEC, d'usurpation d'identité et de type « zero-day » que les outils de passerelle traditionnels ne parviennent pas à repérer.

Lorsque INKY détecte un message suspect, il affiche une bannière d'avertissement interactive directement dans la boîte de réception, expliquant pourquoi le message a été signalé, quels éléments ont déclenché l'alerte et ce que l'utilisateur doit faire. Ces conseils fournis en temps réel renforcent progressivement la sensibilisation à la sécurité sans nécessiter de sessions de formation distinctes, transformant ainsi chaque message signalé en une occasion d'apprendre plutôt qu'en un simple message bloqué.

Pour les équipes informatiques chargées de gérer un environnement unique, le tableau de bord personnalisable de INKYpermet de contrôler depuis un seul et même endroit les politiques de détection, le comportement des bannières et la gestion de la quarantaine. Pour les prestataires de services gérés (MSP) chargés d’assurer la sécurité de la messagerie cloud pour l’ensemble de leur clientèle, l’architecture multi-locataires de INKYpermet de gérer le déploiement, l’administration et le reporting depuis une interface unique, pour tous les environnements sous gestion.

INKY est disponible en tant que produit autonome et dans le cadre de l'offre «Kaseya 365 User», qui regroupe « INKY » avec une formation à la sensibilisation à la sécurité, la surveillance du dark web, la sauvegarde SaaS ainsi que la détection et la réponse dans le cloud, le tout dans un seul abonnement.