La plupart d’entre nous reçoivent des spams chaque jour. Les cyberattaques ont explosé au point que, selon des études récentes, la moitié des newsletters produites chaque jour ne sont pas sollicitées. C’est un danger considérable pour les utilisateurs, exposés en permanence à une activité malveillante qui cherche à infecter leur ordinateur avec des virus ou à leur extorquer des données personnelles sensibles à des fins lucratives.
Le spam n’a rien de nouveau, et pourtant particuliers comme organisations continuent d’en être victimes. Le State of the Phish Report de Proofpoint indiquait que plus de 80 % des entreprises avaient subi un préjudice financier lié à des attaques d’hameçonnage l’an dernier.
Les particuliers comme les représentants d’entreprise doivent savoir distinguer les e-mails légitimes du spam et se protéger. Même avec les fournisseurs de messagerie et les ESP qui montent la garde, avec leurs systèmes antispam sophistiqués et régulièrement améliorés, les e-mails non sollicités trouvent encore le chemin des boîtes de réception.
Comment distinguer les e-mails légitimes du spam, et que doivent faire les entreprises pour prouver à leurs clients que leurs e-mails sont authentiques et légaux ? Ce guide répond à ces deux questions.
Qu’est-ce qu’un e-mail légitime et qu’est-ce qu’un spam ?
Les e-mails légitimes sont des newsletters conçues dans le respect de la loi, des formes juridiques établies, des exigences et des normes en vigueur. Ils sont authentifiés par des mécanismes d’authentification de l’expéditeur reposant sur le DNS, comme SPF, DKIM et DMARC, et ils contiennent des informations qui prouvent leur légitimité, par exemple l’adresse postale de l’entreprise.
Ces e-mails ne sortent pas seulement des mains d’expéditeurs installés et respectés : ils viennent aussi d’entreprises et d’entrepreneurs dont le Sender Score est bon et qui suivent les recommandations des autorités de régulation et des organisations antispam.
Les e-mails légitimes respectent les lois du pays où l’expéditeur exerce ou dont il adresse le public. Par exemple, pour envoyer des e-mails légitimes à des résidents européens, une entreprise doit satisfaire aux exigences du Règlement général sur la protection des données et de la directive ePrivacy, tandis que les autorités américaines imposent le respect du CAN-SPAM Act.
Un spam est un e-mail non sollicité et illégitime, généralement envoyé en masse à de nombreux destinataires. Il peut poursuivre un but promotionnel, chercher à infecter votre ordinateur avec un logiciel malveillant ou pousser des clients à livrer des informations sensibles. Il est hors sujet, indésirable, contraire à l’éthique et dangereux. Les grands classiques du spam sont les publicités commerciales, les fausses alertes antivirus, l’usurpation d’adresse d’expéditeur, les arnaques à l’argent et les annonces de gain à un tirage au sort.
Pourquoi est-il important de distinguer les e-mails légitimes du spam ?
Distinguer les e-mails légitimes du spam est important pour de nombreuses bonnes raisons. D’abord et avant tout, le nombre de cyberattaques a atteint un niveau menaçant. Selon des études récentes, 160 milliards de spams sont produits chaque jour, ce qui aboutit à un chiffre stupéfiant : 96 % des personnes reçoivent des messages de spam sous une forme ou une autre.
Ensuite, ils empêchent les utilisateurs de naviguer dans leur boîte de réception confortablement et en sécurité. Comme les filtres des fournisseurs de messagerie n’attrapent pas tous les spams, beaucoup encombrent sans peine les messageries. D’où des distractions, de l’irritation et de l’agacement. Près de 70 % des personnes ayant reçu des messages d’hameçonnage ont déclaré que leur santé mentale en avait été affectée.
Troisièmement, le spam peut peser sur la productivité, en particulier au sein d’une entreprise. Face à des e-mails malveillants, les salariés perdent leur concentration et leur motivation, et gaspillent un temps et une énergie précieux.
Quatrièmement, un spam peut être le vecteur initial d’une cyberattaque plus élaborée. D’après des statistiques récentes, plus de la moitié des personnes ont déjà perdu de l’argent dans une arnaque en ligne.
Enfin, les entreprises mal protégées engagent leur responsabilité au titre du RGPD, du CAN-SPAM Act et des autres réglementations antispam. Si les fournisseurs de messagerie considèrent leurs messages et leur activité comme du spam, les conséquences peuvent être brutales : de la limitation de leur activité sur le canal e-mail à des amendes considérables (jusqu’à plusieurs millions de dollars), voire à l’emprisonnement des salariés responsables d’une fuite de données.
Distinguer les e-mails légitimes du spam compte non seulement pour les particuliers, qui risquent une perte financière, mais aussi pour les entreprises, qui risquent d’être bloquées par les fournisseurs de messagerie et de perdre toute possibilité de mener des campagnes emailing.
Statistiques sur le spam par Mailmodo
Comment distinguer efficacement les e-mails légitimes du spam ?
Les spams prennent toutes les formes et toutes les tailles. De l’annonce grossière d’un gain à un tirage au sort à la publicité commerciale bien ficelée. Certains paraissent même légitimes au premier regard, car les acteurs malveillants imitent sans peine l’identité des marques connues, et vont parfois jusqu’à personnaliser leur message pour gagner la confiance du lecteur.
Voici les meilleurs conseils pour aider chacun à distinguer les e-mails légitimes du spam et à éviter les mauvaises surprises.
Examinez l’adresse de l’expéditeur
La meilleure recommandation à qui veut se protéger du spam tient en une phrase : ne l’ouvrez jamais. La première chose à faire est donc d’examiner soigneusement l’adresse de l’expéditeur. Si elle paraît suspecte ou si l’expéditeur vous est inconnu, supprimez le message de votre boîte de réception.
Dans le monde professionnel, ce n’est pourtant pas toujours possible. Un e-mail venu d’une adresse inconnue peut être celui d’un collègue, d’un partenaire ou d’une organisation. Dans ce cas, il est essentiel d’inspecter les informations de l’expéditeur. Posez-vous ces questions :
- L’e-mail vient-il d’un domaine public ? Aucune entreprise légitime, même petite ou récente, n’envoie d’e-mails depuis une adresse qui se termine par un domaine public comme « Gmail » ou « Yahoo ».
- Le domaine de l’expéditeur comporte-t-il des fautes de frappe, des erreurs ou de minuscules variations d’orthographe qui le font passer pour celui d’une grande marque, en particulier dans la finance ou le commerce ?
- L’adresse de l’expéditeur utilise-t-elle des caractères ressemblants empruntés à d’autres langues pour paraître familière ?
- L’adresse de l’expéditeur contient-elle des suites aléatoires de chiffres et de lettres, ou paraît-elle comique ?
- L’adresse de l’expéditeur diffère-t-elle du format d’adresse habituel de l’entreprise ?
- L’e-mail est-il adressé précisément à votre compte de messagerie ?
Enfin, il est utile de contrôler l’objet du message et BIMI.
L’objet peut à lui seul révéler que quelque chose ne va pas, car les acteurs malveillants n’y consacrent ni temps ni effort. En règle générale, il est banal, bizarre, étrange, et n’a aucun sens pour vous.
Quant à BIMI, pour Brand Indicators for Message Identification, il fait partie de la famille de l’authentification des e-mails. Il affiche les éléments d’identité visuelle de la marque : logotype, petite mascotte ou icône. Comme il protège contre les expéditeurs illégitimes qui usurpent un logo, il peut devenir une source d’information supplémentaire. Demandez-vous donc si ce visuel correspond exactement à l’identité de la marque. Gardez en tête que l’adoption reste rare (99 % des domaines que nous contrôlons ne publient aucun enregistrement BIMI) : un logo absent ne prouve donc pas du tout qu’un e-mail est un spam.
Faites attention aux pièces jointes et aux liens
Comme nous préférons parcourir les e-mails plutôt que les lire mot à mot, il est facile d’agir sans réfléchir davantage et de tomber dans le piège d’une formulation habile ou d’une offre impressionnante. Si vous faites partie de ceux qui survolent le texte, veillez au moins à examiner très attentivement les pièces jointes et les liens.
Ces deux éléments courants des newsletters sont les principales sources de logiciels malveillants, de virus et de fichiers dangereux. La règle d’or : ne téléchargez pas de fichier et ne cliquez pas sur un lien dont l’allure est étrange ou suspecte. Comme un fichier dangereux peut prendre n’importe quelle forme, surtout sous une extension familière, distinguer les e-mails légitimes du spam devient difficile. Posez-vous ces questions pour les repérer :
- La demande a-t-elle du sens pour vous ?
- L’offre paraît-elle trop belle pour être vraie ?
- L’e-mail met-il la pression pour agir vite ?
- L’e-mail contient-il des boutons d’appel à l’action génériques du type « Cliquez ici » ou « Télécharger maintenant » ?
- L’URL, ou l’adresse affichée au survol, diffère-t-elle du libellé du lien ?
Si la réponse est oui à l’une de ces questions, l’e-mail mérite une inspection minutieuse.
Inspectez le contenu et le design de l’e-mail
Une adresse d’expéditeur qui ne paraît pas suspecte ne signifie pas pour autant que l’e-mail est légitime. La bonne nouvelle, c’est qu’ouvrir un e-mail n’infecte pas votre ordinateur et ne vous fait pas perdre d’informations personnelles sensibles. Pour tomber entre les mains d’acteurs malveillants, il faut agir : télécharger un fichier depuis un lien, ouvrir une pièce jointe. Inspecter le contenu du message et son design est donc essentiel.
Commencez par le design, puisque c’est ce que l’on remarque en premier. Porte-t-il vraiment la marque ? Paraît-il moderne ? Correspond-il au style habituel de l’entreprise ? Comme les acteurs malveillants n’ont pas le temps de créer de beaux modèles d’e-mail, leurs newsletters ont souvent l’air amateur, grossier et déformé.
Examinez ensuite le texte. Plusieurs signes peuvent trahir un spam :
- Des offres irréalistes. Si le contenu semble trop beau pour être vrai, par exemple la promesse de sommes importantes contre des actions simples, il s’agit probablement d’une tentative d’hameçonnage destinée à récupérer des coordonnées bancaires.
- Des fautes de grammaire. Comme les spams sont assemblés à la hâte pour partir en masse, ils regorgent de coquilles, d’erreurs et d’incohérences.
- Une formule d’appel générique. Les e-mails légitimes s’adressent en général à la personne par son vrai nom.
- Des tournures inhabituelles ou maladroites. Là encore, comme les spams sont écrits à la volée, ils contiennent parfois des blocs de texte bizarres. Ils donnent l’impression d’avoir été traduits d’une langue étrangère, ou de ne pas être correctement rédigés dans la vôtre du point de vue du contexte.
- Une urgence artificielle. Les pirates créent un sentiment d’urgence pour pousser le lecteur à agir vite. C’est souvent associé à une menace du type « votre ordinateur est infecté ».
- La menace de conséquences négatives. Une menace de conséquences négatives inquiète toujours. Ce sentiment pousse à agir sans réfléchir, ce dont les acteurs malveillants se servent dans leurs attaques.
- Des demandes de données confidentielles. C’est peut-être le signe le plus répandu du spam. Aucune entreprise légitime ne demande de partager des informations personnelles sensibles par e-mail. Si vous voyez une demande de coordonnées bancaires ou de réinitialisation de mot de passe, c’est le signe d’un message non sollicité.
- Des incohérences dans les informations de l’expéditeur. Dans un e-mail légitime, les informations de l’adresse d’expédition (nom de domaine ou nom de l’expéditeur) correspondent à celles de la signature. Si vous repérez des incohérences, c’est probablement un spam.
Comment faire en sorte que vos envois paraissent légitimes ?
Entre l’usurpation de marques connues et des messages qui semblent tout à fait authentiques et légaux, distinguer les e-mails légitimes du spam est un défi pour les utilisateurs comme pour les fournisseurs de messagerie. Ces derniers renforcent donc régulièrement leurs systèmes de protection antispam. Leurs processus d’analyse rigoureux visent à créer un écosystème e-mail sûr.
En protégeant les utilisateurs des cyberattaques, ces filtres dressent toutefois des obstacles devant les professionnels de l’emailing et rendent difficile d’atteindre ses abonnés, même avec un e-mail légitime. Voici les meilleures pratiques pour éviter de passer pour un spammeur aux yeux des fournisseurs de messagerie et garder le lien avec vos abonnés.
Contrôlez chaque e-mail dans Unspam
La première chose à faire, pour toute équipe qui travaille le canal e-mail, est d’examiner à fond ses campagnes emailing en cours. Cette inspection permet de repérer les détails qui font paraître ses envois illégitimes aux fournisseurs de messagerie. Comme les algorithmes antispam sont très avancés et assez sophistiqués pour rivaliser d’ingéniosité avec les acteurs malveillants, ces points faibles peuvent aller d’une formulation maladroite dans le corps du message à des enregistrements DMARC mal configurés.
Il est donc vivement recommandé de contrôler les points suivants sur vos campagnes actuelles :
- Les enregistrements SPF et DMARC. Sont-ils correctement configurés ? Sont-ils valides ? Respectent-ils les standards ?
- La signature DKIM. Est-elle valide et vérifiée ?
- Le reverse DNS. Le serveur d’envoi dispose-t-il d’un reverse DNS ? Le serveur de messagerie et le HELO sont-ils alignés ?
- L’en-tête List-Unsubscribe. Contient-il un mécanisme de désabonnement simple ? Ce détail passe facilement à la trappe : seuls 14 % des expéditeurs que nous testons satisfont à l’exigence du désabonnement en un clic.
- Le suffixe du domaine. Est-il digne de confiance ?
- L’objet. Est-il cohérent avec le contenu du message ? Est-il clair et porteur de sens ? Contient-il des mots déclencheurs de spam ?
- Le contenu et le design de l’e-mail. L’équilibre entre texte et visuels est-il sain ? Y a-t-il des liens morts ? Le message respecte-t-il les réglementations antispam ? S’affiche-t-il de façon cohérente sur toutes les tailles d’écran ?
Au premier abord, cela peut sembler beaucoup, mais garantir qu’une campagne est authentique et paraît légitime aux fournisseurs de messagerie est impératif.
La bonne nouvelle, c’est que les entreprises n’ont pas à mener ces inspections à la main et seules. Elles n’ont pas besoin non plus de personnel ni de temps supplémentaires. Il leur suffit d’Unspam, un outil professionnel pour lancer des contrôles antispam et des tests de délivrabilité. Il fait tout ce qui précède, et davantage. Par exemple :
- Il vérifie que votre domaine et votre adresse IP ne figurent sur aucune blacklist importante.
- Il passe en revue le niveau d’accessibilité de la newsletter et suggère des améliorations.
- Il évalue le placement en boîte de réception probable.
- Il génère une heatmap.
- Il prévisualise l’e-mail sur les appareils les plus courants pour repérer les incohérences d’affichage.
En plus, son équipe d’experts peut vous fournir des recommandations professionnelles adaptées à votre marque pour résoudre vos problèmes de délivrabilité. Et tout cela sans faire flamber votre budget, car Unspam affiche l’un des meilleurs tarifs du secteur.
Authentifiez chaque newsletter
Si vous débutez tout juste dans l’emailing et que vous en êtes à votre première campagne, l’authentification est l’une des étapes les plus critiques. Les bonnes raisons sont nombreuses, mais avant tout : Gmail ne laisse pas entrer les e-mails dépourvus d’enregistrements SPF, DKIM et DMARC correctement configurés. Tous vos efforts de design soigné, de texte convaincant et d’offres hyperpersonnalisées seraient donc vains.
L’authentification prend en charge le versant technique de la communication. Elle fournit aux fournisseurs de messagerie une preuve valable de la légitimité d’un e-mail. L’adoption reste inégale : sur les domaines que nous testons, 90 % publient un enregistrement SPF valide et 87 % signent leurs envois avec une clé DKIM fonctionnelle, mais 58 % seulement publient une politique DMARC, donc 42 % des domaines n’en ont toujours aucune, ce qui laisse une large part des expéditeurs exposés à l’usurpation qui rend le spam si difficile à démasquer. Pour l’introduire dans vos campagnes, voici les étapes vivement recommandées :
- Fixez des adresses d’expédition cohérentes et des noms d’expéditeur avenants. N’utilisez pas de domaines cousins ni de domaines qui s’écartent légèrement du nom de votre marque : cela paraît louche aux fournisseurs de messagerie comme aux clients.
- Dressez la liste des adresses IP autorisées et créez un enregistrement SPF valide.
- Signez vos messages par cryptographie en adoptant le mécanisme DKIM.
- Publiez des enregistrements DMARC à côté de vos enregistrements DNS pour tirer le maximum des protocoles SPF et DKIM.
- Créez un enregistrement BIMI.
- Veillez à ce que tous vos domaines, sous-domaines et types d’e-mails (y compris transactionnels) soient protégés par des protocoles d’authentification.
- Surveillez en continu les rapports d’authentification. Mettez en place des alertes sur les anomalies dans les résultats d’authentification.
- Tenez-vous au courant des derniers standards d’authentification des e-mails.
Suivre ces recommandations demande des compétences techniques, ce qui n’est pas toujours simple. C’est pourtant impératif pour garantir la légitimité de vos envois, préserver votre réputation en ligne et maintenir la confiance des clients dans votre marque.
Améliorez votre Sender Score et votre réputation
Le Sender Score est une valeur chiffrée que les fournisseurs de messagerie attribuent à chaque entreprise pour décrire la réputation de sa marque, son activité et son historique sur le canal e-mail. C’est un score combiné entre la réputation de l’adresse IP et celle du domaine.
Parce qu’il traduit le niveau de confiance que les fournisseurs de messagerie accordent à l’entreprise, le Sender Score fonde leur décision : laisser entrer l’e-mail, le ranger dans le dossier spam ou le rejeter immédiatement. Il influence la délivrabilité, le taux de conversion, le chiffre d’affaires et le ROI final. Plus le Sender Score est élevé, plus l’entreprise a de chances de franchir des filtres rigoureux et un criblage antispam serré, et d’obtenir de bonnes performances sur le canal e-mail.
Il est donc important de suivre et d’améliorer votre Sender Score. Voici quelques-unes des meilleures pratiques :
Gardez vos abonnés engagés avec un texte convaincant, une hyperpersonnalisation, une expérience utilisateur qui a du sens, des offres à valeur réelle, un design responsive et le bon rythme d’envoi.
Nettoyez régulièrement votre liste d’abonnés. Débarrassez-vous des contacts susceptibles de compromettre votre activité sur le canal : spam traps, adresses e-mail invalides ou contacts désengagés.
N’achetez et ne louez jamais de listes d’abonnés. Obtenez toujours le consentement de vos abonnés avant de leur écrire. Qu’il s’agisse d’un message promotionnel, informatif ou transactionnel, assurez-vous que vos utilisateurs acceptent explicitement de le recevoir.
Perfectionnez le versant technique de vos envois. Cela suppose plusieurs pratiques, mais avant tout : des e-mails authentifiés, un hébergeur de confiance avec une adresse IP dédiée et une infrastructure protégée par des systèmes de sécurité haut de gamme.
Évitez de vous faire blacklister. Contrôlez régulièrement les principales blacklists e-mail. Si vous vous y trouvez, suivez leurs instructions pour en sortir.
Traitez les plaintes pour spam et travaillez de près vos hard bounces et vos soft bounces.
Respectez les réglementations et les lois antispam. Mettez en place une inscription en double opt-in, fournissez un lien de désabonnement et traitez au plus vite les demandes de suppression de données de votre base.
Surveillez la délivrabilité de vos e-mails et vos indicateurs de performance clés pour repérer les faiblesses de vos campagnes et de votre communication.
Dernier point, et pas le moindre : chaque fournisseur de messagerie applique ses propres algorithmes pour déterminer un Sender Score. Beaucoup s’appuient toutefois sur les bonnes pratiques du secteur et attendent des entreprises qu’elles suivent leurs recommandations. Familiarisez-vous donc avec leurs consignes et intégrez-les à votre routine emailing.
Conclusion
Le spam ne se limite pas à une nuisance. La perte annuelle moyenne par salarié due au spam atteint environ $1934, et les pertes financières se comptent en millions de dollars pour les entreprises, d’après Nucleus Research. Distinguer les e-mails légitimes du spam et se protéger de ces conséquences brutales est crucial.
Heureusement, les mesures préventives ne sont pas si difficiles à mettre en place, surtout avec les mécanismes antispam avancés des fournisseurs de messagerie qui montent la garde pour vous. Votre part du travail consiste à examiner les informations de l’expéditeur et le contenu du message pour repérer les éléments suspects, et à respecter la règle générale : ne rien télécharger depuis une source inconnue et ne cliquer sur aucun lien dont la destination est douteuse.
Quant aux entreprises qui veulent garder le lien avec leurs abonnés et faire passer leurs messages de marque malgré tous ces dispositifs de protection, elles doivent s’assurer que leurs envois paraissent légitimes à tous les acteurs de l’écosystème.
Pour cela, il leur faut authentifier leurs e-mails, bâtir une solide réputation d’expéditeur, adopter les bonnes pratiques et contrôler leurs newsletters dans Unspam pour faire remonter les incohérences qui les rendraient suspectes.
