La sécurité emailing entreprise ne repose pas seulement sur SPF, DKIM et DMARC. Les deux incidents Brevo de septembre 2026 montrent qu’un compte autorisé ou une clé d’infrastructure compromis peut contourner ces protections. Pour réduire le risque, une PME doit séparer les accès, imposer l’authentification multifacteur, limiter les droits, encadrer les clés API et surveiller les campagnes inhabituelles.
Que s’est-il passé chez Brevo en septembre 2026 ?
Brevo a connu deux incidents distincts en septembre 2026 : une faille d’isolation entre clients utilisant l’authentification SAML SSO, puis le détournement d’un identifiant Cloudflare. Le premier incident a permis d’accéder à des comptes clients. Le second a injecté un script malveillant dans des contenus hébergés ou distribués par Brevo.
Le 10 septembre 2026, Brevo a confirmé l’accès non autorisé à 138 comptes. Selon le bilan publié par l’entreprise, 6 comptes ont servi à envoyer du phishing, 43 ont subi un export de contacts et 93 n’ont pas connu d’activité malveillante significative. Brevo indique avoir fermé la voie d’accès SSO en moins de deux heures et réinitialisé les sessions actives.
BitBox a confirmé séparément l’export de sa liste complète et l’envoi de deux campagnes de phishing. Trezor avait détecté dès le 9 septembre 2026 l’utilisation non autorisée de son compte de newsletter. Ces événements illustrent un risque souvent sous-estimé : une adresse exportée peut alimenter des attaques ciblées bien après la résolution technique de l’incident.
Le 14 septembre 2026, un autre incident a touché des pages, formulaires, widgets Conversations et chargeurs de kit de développement logiciel, ou SDK, servis par Brevo. D’après le compte rendu de Brevo, un identifiant d’API Cloudflare ancien, doté de privilèges complets et stocké dans du code applicatif, avait été compromis.
L’injection ClickFix a duré environ cinq heures et demie, entre approximativement 16 h 05 et 20 h 30 UTC selon les fenêtres publiées par Brevo et Sansec en 2026. ClickFix désigne une technique qui affiche de fausses instructions de dépannage afin d’amener l’utilisateur à exécuter lui-même une commande malveillante. Le script visait notamment les utilisateurs Windows et tentait d’installer un plugin WordPress lorsqu’un administrateur connecté visitait un site affecté.
Sansec a estimé en septembre 2026 que les scripts Brevo concernés étaient intégrés à plus de 100 000 sites. Ce chiffre mesure une exposition potentielle, pas le nombre de sites effectivement compromis, que Brevo n’a pas publié. Brevo a par ailleurs déclaré que l’envoi d’e-mails, l’API, app.brevo.com et les données des comptes clients n’avaient pas été touchés par ce second événement.
Pourquoi SPF, DKIM et DMARC n’ont-ils pas arrêté le phishing ?
SPF, DKIM et DMARC vérifient si un serveur ou un domaine est autorisé à expédier un message, mais ils ne déterminent pas si la campagne est légitime. En septembre 2026, les messages frauduleux envoyés depuis des comptes Brevo compromis ont utilisé une infrastructure autorisée et ont donc pu réussir les contrôles habituels d’authentification.
SPF indique quels serveurs peuvent envoyer pour un domaine. DKIM ajoute une signature cryptographique au message. DMARC définit la conduite à tenir lorsqu’un message échoue à ces contrôles et fournit des rapports. Selon le National Institute of Standards and Technology en 2026, ces mécanismes restent nécessaires contre l’usurpation de domaine et contribuent aussi à la délivrabilité.
Mais ils répondent à la question « cet expéditeur est-il autorisé ? », pas à la question « cette campagne a-t-elle été validée par l’entreprise ? ». Lorsqu’un attaquant prend le contrôle d’un compte déjà autorisé, l’e-mail peut être techniquement authentique tout en étant malveillant. C’est précisément le piège que les décideurs non techniques ignorent souvent.
La sécurité emailing entreprise doit donc ajouter une couche de contrôle métier : seuil d’alerte sur le volume envoyé, validation des campagnes sensibles, surveillance des nouveaux expéditeurs et examen des exports de contacts. Une variation soudaine du pays de connexion, du nombre de destinataires ou du domaine de destination mérite aussi une alerte.
Sur les projets que nous menons, nous voyons souvent l’authentification du domaine traitée comme la fin du chantier. C’est plutôt son socle. Les problèmes de délivrabilité et les anomalies de campagne doivent ensuite être suivis ensemble, car les causes d’une baisse des taux d’ouverture peuvent aussi révéler une configuration dégradée ou un usage inhabituel.
Comment renforcer la sécurité emailing entreprise ?
Une sécurité emailing entreprise robuste combine des comptes nominatifs, une authentification multifacteur, des permissions minimales et des identifiants techniques limités. En 2026, Brevo permet de contrôler séparément les droits sur les contacts, les exports, les campagnes, les domaines et les identifiants API ou SMTP. Cette granularité réduit l’impact d’un accès compromis.
Un compte nominatif appartient à une seule personne. Il permet de retirer rapidement un accès et d’attribuer une action à son auteur, contrairement à un mot de passe administrateur partagé. Les prestataires doivent disposer de leur propre accès, limité à leur mission et désactivé dès la fin du contrat.
Voici les contrôles à appliquer en priorité :
- imposer l’authentification à deux facteurs, ou 2FA, à tous les administrateurs et l’étendre aux connexions SSO ;
- réserver l’export des contacts aux personnes qui en ont un besoin documenté ;
- séparer les droits de création, de validation et d’envoi des campagnes sensibles ;
- restreindre chaque clé API et SMTP aux adresses IP autorisées lorsque l’architecture le permet ;
- préférer OAuth avec les seuls droits nécessaires pour les intégrations compatibles ;
- réviser périodiquement les utilisateurs, applications connectées, expéditeurs et domaines ;
- déclencher des alertes sur les connexions, exports et volumes d’envoi inhabituels.
Brevo accepte en 2026 la 2FA par application d’authentification ou SMS, y compris avec SSO. La Cybersecurity and Infrastructure Security Agency recommande toutefois une authentification multifacteur résistante au phishing, notamment pour les accès administratifs. Une clé physique ou une méthode liée cryptographiquement au service résiste mieux qu’un code reçu par SMS.
Les restrictions d’adresses IP proposées par Brevo peuvent être configurées séparément pour les clés API et SMTP. Une API est une interface utilisée par deux logiciels pour communiquer ; SMTP est le protocole d’expédition des e-mails. Ce filtrage est particulièrement pertinent pour un serveur doté d’une adresse IP fixe, mais il peut gêner une équipe mobile ou une infrastructure dont les adresses changent fréquemment.
Pour les intégrations OAuth, Brevo documente en 2026 des autorisations détaillées en lecture ou en écriture et des jetons d’accès valables une heure. Honnêtement, donner un accès complet « au cas où » n’est pas un gain de temps : c’est une dette de sécurité. Le bon réglage accorde seulement les opérations indispensables au connecteur.
Quels contrôles choisir selon le risque et l’effort ?
Les meilleurs arbitrages commencent par les accès humains, puis couvrent les identifiants techniques et la détection. L’authentification multifacteur et les comptes nominatifs demandent peu d’effort. La restriction IP et la rotation automatisée des secrets nécessitent davantage de préparation, mais limitent fortement les possibilités d’exploitation d’une clé volée.
| Contrôle | Risque traité | Effort indicatif | Arbitrage |
|---|---|---|---|
| Comptes nominatifs et 2FA | Vol ou partage d’accès humain | Faible | À déployer en premier |
| Droits minimaux | Export ou envoi non autorisé | Faible à moyen | Prévoir une revue régulière |
| Restriction IP des clés | Utilisation d’une clé depuis un serveur inconnu | Moyen | Très efficace avec des IP fixes |
| OAuth à portées limitées | Intégration trop puissante | Moyen | À préférer lorsqu’il est pris en charge |
| Rotation et coffre de secrets | Clé ancienne exposée dans du code | Moyen à élevé | Prioritaire pour les applications critiques |
| Alertes sur campagnes et exports | Abus d’un accès pourtant autorisé | Moyen | Indispensable pour détecter vite |
Le second incident Brevo montre pourquoi une clé pleinement privilégiée et durable ne devrait pas rester dans le code source. Le 17 septembre 2026, Brevo a indiqué l’avoir remplacée par des jetons Cloudflare de courte durée et aux droits restreints. L’entreprise a également annoncé un stockage centralisé des secrets, leur rotation automatique et de nouvelles alertes sur les modifications sensibles.
Côté agence, le réflexe est de cartographier le trajet des données et des secrets avant de brancher un formulaire, un site WordPress ou une application métier. Une dépendance chargée depuis un fournisseur peut devenir un canal d’attaque sans que le compte emailing soit lui-même compromis. Ce raisonnement rejoint la vigilance nécessaire sur l’effet cascade de NIS2 chez les sous-traitants.
À faible budget, mieux vaut cinq contrôles réellement exploités qu’un outil de sécurité complexe jamais consulté. Commencez par les comptes nominatifs, la 2FA, la suppression des accès dormants et les alertes sur les envois. La rotation automatisée et le coffre de secrets deviennent prioritaires dès qu’une API email alimente plusieurs sites ou une application commerciale.
Que faire si un compte emailing est compromis ?
Après un compte emailing compromis, il faut d’abord bloquer les accès actifs, puis remplacer tous les secrets susceptibles d’avoir été copiés. La procédure Brevo documentée en 2026 prévoit le changement du mot de passe, la recréation des clés API, l’activation de la 2FA, la restriction des IP et la régénération des identifiants SMTP.
Révoquer seulement le mot de passe ne suffit pas. Une session déjà ouverte, une clé API copiée ou un identifiant SMTP peut continuer à fonctionner indépendamment. Il faut aussi suspendre les campagnes, examiner les expéditeurs ajoutés et rechercher les exports de contacts ou changements de permissions.
Les journaux d’activité Brevo enregistrent en 2026 les connexions, les modifications d’utilisateurs et de droits, les opérations sur les clés API, les changements de domaines ou d’expéditeurs et les événements 2FA. Leur conservation est de 90 jours sur la plupart des offres et de 12 mois sur Enterprise, selon la documentation Brevo. Exporter rapidement ces éléments évite de perdre des traces utiles.
Ensuite vient l’analyse d’impact : quelles données ont été consultées, quels messages sont partis et quels sites ont chargé un composant touché ? Si des données personnelles sont concernées, l’entreprise doit évaluer ses obligations au titre du RGPD avec son délégué à la protection des données ou son conseil. La qualification dépend des faits ; elle ne doit pas être déduite d’une simple alerte fournisseur.
Enfin, prévenez les destinataires avec des consignes précises si le risque est établi : objet des messages frauduleux, domaine utilisé, liens à éviter et canal officiel de vérification. Une communication trop vague aide peu. Pour replacer l’événement dans une méthode de réponse plus large, le point sur les réflexes face à une cyberattaque distingue utilement faits confirmés, exposition et compromission.
Cadrer les accès, les dépendances et le plan de révocation avant l’incident évite la plupart des décisions improvisées. Un regard extérieur peut aider à relier configuration emailing, sécurité du site et responsabilités internes sans alourdir inutilement l’exploitation.
FAQ sur la sécurité d’une plateforme d’emailing
Brevo est-il sûr pour une PME en 2026 ?
Brevo propose en 2026 des contrôles utiles, dont la 2FA, les permissions détaillées, les restrictions IP et les journaux d’activité. La sécurité dépend toutefois de leur configuration, des intégrations connectées et de la capacité de l’entreprise à détecter puis révoquer rapidement un accès anormal.
À quelle fréquence faut-il changer une clé API email ?
Une clé API email doit être remplacée immédiatement après toute suspicion d’exposition et lors du départ d’un prestataire qui pouvait y accéder. Une rotation automatique est préférable pour les systèmes critiques ; la fréquence normale doit être adaptée à la durée de vie du secret et aux possibilités de déploiement sans interruption.
La double authentification par SMS suffit-elle pour l’emailing ?
La double authentification par SMS est préférable à un mot de passe seul, mais elle résiste moins bien au phishing et au détournement de ligne. Pour un compte administrateur, une application d’authentification ou, mieux, une méthode multifacteur résistante au phishing réduit davantage le risque.
Faut-il supprimer les formulaires Brevo d’un site WordPress ?
Un formulaire Brevo ne doit pas être supprimé automatiquement à cause de l’incident de septembre 2026. Il faut inventorier les scripts chargés, maintenir WordPress et ses plugins, limiter les comptes administrateurs et prévoir un moyen de désactiver rapidement une dépendance externe en cas d’alerte.