POP3 : fonctionnement et enjeux pour la sécurité
ChatGPT
Claude
Gemini
Perplexity
GrokL’essentiel
POP3 pas à pas, les failles de son modèle « télécharger puis supprimer », et comment les MSP verrouillent ou retirent les vieux clients de messagerie.
POP3 (Post Office Protocol version 3) est le protocole des anciens clients de messagerie pour récupérer les messages d’un serveur, défini dans la RFC 1939 en 1996. Le client se connecte, s’identifie par nom d’utilisateur et mot de passe, télécharge le courrier puis, en configuration classique, supprime la copie serveur. Trois raisons concernent la sécurité : le courrier s’éparpille sur des postes où il est dur à protéger et à conserver, POP3 repose sur des mots de passe seuls qui contournent la MFA, et les copies supprimées trouent la rétention et la réponse aux incidents. Microsoft et Google ont coupé l’authentification de base pour POP3 : la direction est claire.
POP3 : définition
POP3 est l’un des deux moyens standard pour un client de récupérer le courrier d’un serveur. Publié comme RFC 1939 (Internet Standard 53) en mai 1996, il vise l’ère du modem : connexion brève, tout télécharger, lire hors ligne. Le protocole ne gère que la récupération. L’envoi relève de SMTP, et l’alternative moderne multi-appareils pour lire le courrier est IMAP.
Très simple, POP3 est intégré à presque tous les clients de bureau, et à bien des scanners, outils de tickets et applications métier qui interrogent une boîte. C’est pourquoi les MSP le croisent encore en 2026. Pour une introduction courte, voir Qu’est-ce que POP3 ?
Comment se déroule une session POP3 ?
La RFC 1939 définit trois états de session : AUTHORIZATION (connexion), TRANSACTION (lister et récupérer) et UPDATE (appliquer les suppressions et raccrocher). Une session type :
S: +OK POP3 server ready
C: USER alice@example.com
S: +OK
C: PASS ********
S: +OK maildrop has 2 messages (620 octets)
C: LIST
S: +OK 2 messages (620 octets)
C: RETR 1
S: +OK 320 octets
S: <message content>
C: DELE 1
S: +OK message 1 deleted
C: QUIT
S: +OK POP3 server signing offTrois détails de ce flux comptent pour la sécurité :
- L’authentification est une simple paire USER/PASS. Le protocole de base envoie des identifiants fixes en début de session. Des mécanismes optionnels existent (APOP, SASL), mais le socle commun reste un mot de passe réutilisable.
- DELE ne fait que marquer les messages. Rien n’est supprimé avant que le client envoie QUIT et que le serveur passe en UPDATE, où il efface tout ce qui est marqué. Une connexion coupée laisse la boîte intacte, d’où le retour de messages supprimés.
- « Laisser une copie sur le serveur » est un réglage client, pas le modèle par défaut. Les clients qui l’offrent utilisent la commande optionnelle UIDL pour savoir quels messages ils ont déjà pris. Case décochée, la copie serveur disparaît dès la fin du téléchargement.
Quels ports POP3 utilise-t-il ?
| Port | Rôle | Recommandation |
|---|---|---|
| 110 | POP3 en clair (montée STLS optionnelle) | Bloquer au pare-feu, sauf appareil ancien documenté |
| 995 | POP3 sur TLS implicite (« POP3S ») | Autoriser seulement si POP3 reste requis |
| 143 / 993 | IMAP en clair / IMAP sur TLS implicite | Idem : préférer 993, bloquer 143 |
L’IETF a tranché en 2018. La RFC 8314, intitulée « Cleartext Considered Obsolete », recommande TLS 1.2 ou plus pour tout trafic entre clients et serveurs de messagerie, et préfère le TLS implicite sur le port 995 à la montée STLS d’une connexion en clair sur le port 110. La SP 800-177 Rev. 1 du NIST conseille de même aux clients POP et IMAP de passer par TLS, et juge « fortement déconseillée » l’authentification par nom et mot de passe sur une connexion non chiffrée. Sur le port 110 sans STLS, nom, mot de passe et contenu traversent le réseau, lisibles par quiconque peut les intercepter. Si vous découvrez comment TLS protège une session, commencez par là.
Pourquoi POP3 concerne-t-il la sécurité ?
Les identifiants d’abord. En pratique, POP3 rime avec authentification de base : un mot de passe fixe présenté à chaque relève, souvent toutes les quelques minutes, par un client incapable de MFA. Les fournisseurs jugent cela intenable. Microsoft a désactivé l’authentification de base pour POP et IMAP dans Exchange Online à partir du 1er octobre 2022, sans retour possible ; POP/IMAP y exigent OAuth 2.0. Google a suivi : depuis le 14 mars 2025, Google Workspace refuse la connexion par mot de passe seul pour POP, IMAP, SMTP, CalDAV et CardDAV ; reste OAuth (ou les mots de passe d’application). Un client POP3 au mot de passe seul parle à un serveur sur site ou à un petit hébergeur, et ces comptes sont des cibles de choix pour le vol d’identifiants, car les vieux protocoles évitent les contrôles de connexion modernes.
Le courrier s’éparpille sur les postes. Après téléchargement, la seule copie peut être un fichier sur un portable. Perdre le portable, c’est perdre le courrier. Les pièces jointes arrivent aussi sur disque : passerelle et protection des postes portent la charge ; voir traiter les pièces jointes malveillantes.
Les enquêtes se compliquent. Une fois la copie serveur supprimée, plus rien n’est consultable en central lors d’un incident ou d’une demande d’e-discovery. Il faut imager les postes au lieu d’interroger la plateforme. Si des règles de rétention s’appliquent (HIPAA, réglementation financière, exigences de cyberassurance), « télécharger puis supprimer » peut rendre un client non conforme sans bruit.
En quoi POP3 diffère-t-il d’IMAP ?
IMAP garde le courrier sur le serveur et synchronise lu/non lu, dossiers et suppressions sur chaque appareil. POP3 rapatrie le courrier sur un appareil et, par défaut, l’efface du serveur. Pour sécurité et conformité, l’écart est net : IMAP centralise des données à sauvegarder, chercher et conserver ; POP3 les fragmente sur les postes. POP3 garde peu d’atouts : un utilisateur mono-appareil sur un serveur aux quotas stricts, ou un appareil ancien qui ne parle rien d’autre. Ce sont des exceptions à date d’expiration, pas une architecture.
Comment sécuriser POP3 si vous le gardez ?
- Inventoriez d’abord. Exportez les journaux de connexion ou de protocole de chaque plateforme ; listez chaque compte POP3, son client et sa raison. Prévoyez des boîtes de service, des intégrations scanner ou tickets, et quelques irréductibles.
- Imposez TLS. Port 995 seulement, pas de connexion en clair sur 110, TLS 1.2+ exigé, selon la RFC 8314.
- Supprimez les mots de passe seuls. Sur Microsoft 365 et Google Workspace, c’est déjà fait. Ailleurs, exigez des clients OAuth ou des mots de passe d’application uniques, et imposez la MFA au compte.
- Activez « laisser une copie sur le serveur » par configuration gérée, et archivez à la passerelle pour qu’une copie existe avant tout téléchargement.
- Surveillez les comptes. Alertez sur les connexions POP3 depuis de nouveaux pays ou plages IP, les pics d’échecs, une boîte entière téléchargée en une session. Des détections peu chères et fiables contre la prise de compte.
- Fixez une échéance. Passez les utilisateurs à IMAP ou au cloud natif, et les intégrations qui relèvent une boîte aux API.
POP3 affecte-t-il SPF, DKIM ou DMARC ?
Pas directement. SPF, DKIM et DMARC authentifient le courrier au serveur de réception, avant toute boîte : les messages téléchargés en POP3 ont déjà réussi ou échoué ces contrôles. Récupération et authentification de l’expéditeur sont des couches distinctes ; il faut les deux. Deux réserves honnêtes : DMARC ne protège que votre domaine exact, pas les domaines sosies des fraudeurs, et un client POP3 basique avertit moins que le webmail, donc un message passé malgré un échec est moins scruté. Pendant ce nettoyage côté réception, passez le domaine d’un client au score de sécurité e-mail gratuit de Palisade pour vérifier l’envoi.
Problèmes types
Un client POP3 ne se connecte soudain plus à Microsoft 365 ou Gmail. Le mot de passe est bon ; l’authentification de base a disparu. Exchange Online exige OAuth pour POP/IMAP (et Microsoft n’envisage pas d’OAuth pour POP et IMAP dans Outlook), et Google Workspace exige OAuth ou un mot de passe d’application. Solution : client compatible OAuth, ou mot de passe d’application si la politique le permet.
Messages disparus du webmail après l’ajout d’un client de bureau. C’est le « télécharger puis supprimer » par défaut de POP3. Activez « laisser les messages sur le serveur » dans le client, puis restaurez depuis l’archive ou la sauvegarde si des copies ont été effacées.
Les mêmes messages arrivent deux fois. Le client a perdu son cache UIDL, ou le serveur ne gère pas UIDL, et ne sait plus ce qu’il a pris. Videz le cache et confirmez la prise en charge d’UIDL côté serveur.
Les connexions au port 110 expirent. Un pare-feu le bloque (à raison). Passez le client au port 995 en SSL/TLS au lieu de demander une exception.
Erreurs de certificat à la connexion. Le client vise souvent le mauvais nom d’hôte (le domaine au lieu de l’hôte de messagerie du fournisseur), ou le certificat a expiré, ou TLS est sous 1.2. Corrigez d’abord le nom du serveur.
À lire aussi
Questions des lecteurs
Questions fréquentes
POP3 est-il encore sûr en 2026 ?
Oui, mais seulement avec tous les contrôles compensatoires : TLS sur le port 995, OAuth ou mots de passe d’application, copies serveur ou archivage passerelle, et surveillance du compte. Beaucoup d’efforts pour soutenir un protocole de 1996 ; d’où la réponse pratique pour la plupart des clients : migrer vers IMAP ou le cloud natif.
Faut-il bloquer le port 110 sur les pare-feu ?
Oui, presque partout. Le port 110 transmet par défaut des identifiants en clair, que la RFC 8314 déclare obsolètes et que la NIST SP 800-177 déconseille fortement. Bloquez-le, voyez ce qui casse, et isolez tout appareil ancien qui en a vraiment besoin le temps de le remplacer.
POP3 marche-t-il encore avec Microsoft 365 et Gmail ?
Le protocole oui, la connexion par mot de passe seul non. Exchange Online exige OAuth pour POP/IMAP depuis la fin de l’authentification de base (à partir d’octobre 2022), et Google Workspace a coupé l’accès aux applications à mot de passe seul le 14 mars 2025. Sans OAuth, il faut des mots de passe d’application si permis, ou remplacer le client.
POP3 synchronise-t-il les appareils ?
Non. POP3 ignore dossiers, état lu et clients multiples. « Laisser une copie sur le serveur » permet à un second appareil de télécharger les mêmes messages, sans aucune synchronisation. Pour plusieurs appareils, il faut IMAP ou un client cloud natif.
Pourquoi bannir l’authentification de base sur POP3 ?
Un mot de passe fixe rejoué à chaque connexion est l’identifiant le plus facile à voler et réutiliser, et les vieux protocoles contournent la MFA. L’avis de Microsoft le dit : l’authentification de base facilite la capture d’identifiants et rend la MFA difficile, voire parfois impossible. L’arrêt des applications moins sécurisées chez Google suit la même logique. Voir les exigences d’authentification de Microsoft pour l’impact concret.
Rédigé par
Ian BussieresCTO et cofondateur, Palisade
Ian Bussieres est CTO et cofondateur de Palisade, logiciel DMARC agentique pour équipes IT et MSP.
Lire Ian →