Google Workspace : activer l’anti-hameçonnage et l’anti-malware

Quelle méthode choisir ?

Déployez par étapes, unité par unité, si votre compte a des profils de risque ou des besoins différents. Par exemple, appliquez une politique proposée à une petite unité pilote, examinez le résultat avec des messages de test sûrs et des preuves admin, puis étendez-la une fois le comportement accepté par l’équipe.

Appliquez une politique d’unité plus large si la même protection et la même action conviennent à tous ses utilisateurs. Ne supposez pas qu’un réglage parent convient à chaque unité enfant. Vérifiez le périmètre affiché dans la console avant d’enregistrer.

Choisissez l’action selon le coût d’un faux positif. Une action plus stricte peut réduire l’exposition aux e-mails suspects, mais aussi bloquer des messages métier légitimes. La documentation de Google décrit les groupes de protections et les actions de la configuration Gmail Safety actuelle. Gardez une trace du changement : ancien réglage, nouveau réglage, périmètre, validateur et résultat du test.

Comment configurer la protection dans Google Workspace ?

1. Ouvrez Gmail Safety

Connectez-vous à la console d’administration Google et ouvrez Apps > Google Workspace > Gmail > Safety. Consultez le guide de Google sur la protection avancée pour confirmer le chemin si la console diffère de ce libellé.

Notez l’unité choisie avant de modifier un contrôle. Une politique appliquée à la mauvaise unité peut laisser des destinataires visés sans protection ou toucher des utilisateurs hors périmètre.

2. Choisissez l’unité visée

Choisissez l’unité des boîtes à protéger. Vérifiez si le réglage hérite d’une unité parente ou la remplace localement.

Si les dirigeants, la finance, les boîtes partagées ou un groupe pilote demandent un traitement à part, fixez la limite avant de modifier Gmail Safety. Évitez les exceptions sans responsable ni date de revue.

3. Réglez hameçonnage, liens, pièces jointes, usurpation et authentification

Ouvrez chaque groupe de protections utile et choisissez l’action documentée pour ce contrôle. Les consignes actuelles de Google couvrent l’hameçonnage et les malwares, les liens suspects, les pièces jointes, l’usurpation et les messages non authentifiés.

Partez de la preuve qui a motivé la revue pour savoir quel réglage ajuster. Un problème de pièce jointe suspecte ne justifie pas d’office de toucher un contrôle d’usurpation. Un échec d’authentification peut demander une enquête DMARC, SPF ou DKIM plutôt qu’une exception de filtrage.

Documentez le réglage dans un format opérationnel comme ceci :

scope: "Finance organizational unit"
change: "Gmail Safety protection action"
reason: "Approved response to observed mail risk"
owner: "Workspace administrator"
evidence: "Redacted message details and administrator review"
test: "New safe test message to the scoped mailbox"
rollback: "Restore the previous documented action"

Ne copiez pas un choix de politique vu en ligne sans le comparer au libellé, à l’action disponible et au périmètre d’unité de votre compte.

4. Enregistrez la politique, vérifiez le périmètre

Enregistrez le réglage Gmail Safety. Revenez à l’unité choisie et vérifiez que la protection voulue y est active, et non héritée d’une politique parente inattendue.

Google propose un suivi de l’état des réglages Gmail pour examiner la santé de ces réglages. Servez-vous-en pour repérer ceux qui demandent l’attention d’un admin après le changement.

Un réglage visible prouve que la console a stocké la politique. Il ne prouve pas, au niveau du message, que Gmail a pris la décision attendue pour un message livré.

5. Envoyez un vrai test sûr

Envoyez un nouveau message de test sûr à une boîte de l’unité concernée. Utilisez un test contrôlé, approuvé par votre équipe sécurité. Ne diffusez ni malware réel, ni URL de vol d’identifiants, ni pièce jointe nuisible pour tester une protection Gmail.

Notez l’expéditeur, l’unité du destinataire, l’heure d’envoi, le résultat attendu, le résultat observé et les preuves admin utiles. Si le résultat diffère de l’action configurée, vérifiez l’unité du destinataire et cherchez des réglages Gmail hérités ou contradictoires avant de rechanger la politique.

Quel effet sur DMARC ?

Les protections de Google Workspace évaluent le risque des e-mails entrants. DMARC vérifie si l’authentification SPF ou DKIM alignée réussit pour le domaine From visible. Ces contrôles peuvent se compléter, mais l’un ne remplace pas l’autre.

Un message peut réussir DMARC et contenir un lien malveillant. Il peut aussi échouer à DMARC parce que l’expéditeur a mal configuré l’authentification, sans être malveillant pour autant. La RFC 9989 définit l’alignement et l’évaluation DMARC.

Utilisez le test DMARC de Palisade pour lire l’enregistrement DMARC publié d’un domaine d’envoi visé par une enquête d’usurpation. Un test DNS public ne montre pas la politique Gmail d’une boîte, ne prouve pas le chemin de production et ne révèle pas la décision de Gmail pour un futur message.

Pour le lien entre contrôles expéditeur, signalement des utilisateurs et gestion d’incident, voyez les guides de sécurité e-mail de Palisade. Le guide pour prévenir l’usurpation d’e-mail explique pourquoi l’authentification du domaine exige un responsable distinct.

Comment valider le réglage ?

Lisez le DNS public

Si l’incident implique un domaine expéditeur usurpé, lisez son enregistrement DMARC publié avec le test DMARC. Comparez-le au domaine vu dans le champ From visible.

Cette étape ne prouve pas que Gmail Safety est actif. Le DNS public n’expose ni la politique d’unité, ni les décisions de filtrage, ni la vraie configuration de production de l’expéditeur.

Validez la politique dans Google Workspace

Revenez à Apps > Google Workspace > Gmail > Safety et vérifiez l’unité choisie, l’action enregistrée et l’état d’héritage. Puis revoyez les contrôles décrits dans la documentation de Google sur l’état des réglages Gmail.

Gardez une trace datée du réglage et du périmètre. C’est la validation côté fournisseur.

Examinez un message livré

Examinez un nouveau message de test sûr livré dans une boîte de l’unité visée. Notez le résultat observé et, si utile, les en-têtes caviardés.

Authentication-Results est un champ ajouté par le récepteur. La RFC 8601 définit sa syntaxe et sa limite de confiance. Un en-tête copié d’une source non fiable ne prouve pas la décision de Gmail.

Lisez les rapports DMARC

Quand les rapports agrégés DMARC s’accumulent, voyez comment vos sources d’envoi légitimes s’authentifient. Ces rapports aident à repérer les sources et les échecs d’alignement. Ils ne listent pas chaque e-mail d’hameçonnage entrant filtré par Gmail.

Dépannage

Le réglage semble viser les mauvais utilisateurs

Vérifiez l’unité choisie à l’enregistrement et si une politique parente est héritée. Comparez l’unité de la boîte concernée au périmètre affiché dans Gmail Safety.

Corrigez le périmètre avant d’ajuster l’action. Gardez l’ancienne politique comme référence de repli.

Gmail Safety montre la bonne politique, mais le test diffère

Vérifiez que le message de test est arrivé dans une boîte de l’unité choisie et qu’il a été envoyé après l’enregistrement. Cherchez une autre politique Gmail qui s’applique au destinataire.

Prenez un nouveau test sûr et approuvé. Pas de vrai contenu d’hameçonnage pour forcer une détection.

Un expéditeur légitime est touché par une protection

Conservez des preuves caviardées, dont le domaine From visible et un résultat d’authentification fiable si possible. Déterminez si l’expéditeur a un problème d’authentification, un chemin d’envoi modifié ou un format légitime qui exige une exception approuvée.

N’affaiblissez pas Gmail Safety en bloc pour un seul expéditeur tant que les preuves n’ont pas cerné le contrôle et le périmètre.

DMARC réussit, mais le message reste suspect

Un succès DMARC prouve l’authentification, pas la sûreté du contenu. Examinez à part le contenu, les liens, les pièces jointes et l’action Gmail Safety.

Pour une évaluation plus large de vos contrôles, utilisez le score de sécurité e-mail de Palisade. Son résultat est ponctuel et ne prouve ni le filtrage ni le comportement des utilisateurs.

Les utilisateurs ne trouvent pas où signaler

L’option de signalement de l’utilisateur est distincte des réglages Gmail Safety de l’admin. Vérifiez votre processus de signalement et formez les utilisateurs à signaler les e-mails suspects par le canal approuvé. Pour un programme qui inclut signalement et réponse, voyez comment bâtir un programme anti-hameçonnage.

Bâtissez le processus autour de la politique Gmail

La configuration Gmail Safety n’est qu’un contrôle d’un programme anti-hameçonnage. Après avoir vérifié le périmètre d’unité voulu, définissez comment les utilisateurs signalent, qui enquête, comment les personnes touchées sont prévenues et quand la politique est revue après un faux positif ou un incident.

Lisez comment bâtir un programme anti-hameçonnage pour relier le réglage Workspace au signalement, à la réponse aux incidents et à la formation. Ces protections réduisent le risque, mais ne garantissent pas la détection de chaque message malveillant ni ne remplacent la réponse aux incidents.