Comment fonctionne l'Analyseur d'e‑mails frauduleux

L'Analyseur d'e‑mails frauduleux vous permet de télécharger un seul fichier .msg ou .eml (jusqu'à 5 Mo) et reçoit instantanément un verdict à l'écran — Sûr, Suspect, Dangereux ou Inconnu — accompagné de conclusions concises. Un seul fichier peut être soumis à la fois ; un second fichier dans la même requête est rejeté avec « Un seul fichier peut être téléchargé ». Les fichiers d’un autre type sont rejetés avec « Seuls les fichiers .msg et .eml sont pris en charge », et les fichiers illisibles renvoient « Impossible d’analyser ce fichier — il est peut-être corrompu ou protégé par mot de passe ».

Limites d'utilisation

Les utilisateurs gratuits peuvent analyser jusqu'à cinq fichiers par jour, tandis qu’un abonnement payant porte la limite à quinze. Lorsqu’une limite est atteinte, l’outil affiche une boîte de dialogue comparant les niveaux gratuit et premium. Après qu’un résultat soit affiché, vous pouvez lancer une nouvelle analyse en cliquant sur le bouton « Analyser un autre fichier », qui réinitialise l’interface.

Détermination du verdict

Le verdict démarre à Sûr et ne fait qu’augmenter – jamais diminuer – selon la constatation la plus sévère dans l'e‑mail. Les quatre issues possibles sont :

• Sûr : aucune constatation technique ou IA n’a élevé le niveau.
• Suspect : au moins une constatation de gravité Suspect (par ex. échec SPF, nom de pièce jointe suspect, affichage de lien discordant).
• Dangereux : toute constatation Dangereuse (par ex. échec DKIM ou DMARC, document Office avec macro, contradiction corps‑vs‑pièce jointe, usurpation détectée par IA).
• Inconnu : l’examen IA n’a pu formuler de jugement et aucune vérification technique n’a produit de résultat.

Chaque verdict est accompagné de balises courtes indiquant les contrôles qui l’ont déclenché. Quand seule l’IA conduit la décision, la balise est ai-flagged ; lorsqu’elle est simplement indéterminée, la balise est inconclusive. Un rapport complet pliable contient un récit en langage clair et une liste de chaque constatation individuelle, étiquetée avec sa gravité (Informationnel, Suspect, Dangereux) et son origine (vérification technique ou examen IA).

Vérifications techniques

Authentification de l'expéditeur

L'analyseur lit les résultats SPF, DKIM et DMARC déjà enregistrés par le serveur récepteur. Aucun appel DNS en temps réel n’est effectué. Un échec DKIM ou DMARC est considéré comme Dangereux, un échec SPF comme Suspect, et l’absence de tout enregistrement d’authentification est signalée comme « non vérifiable » sans affecter le verdict. Lorsque plusieurs enregistrements existent, celui le plus proche du destinataire est utilisé et son serveur source est indiqué dans le rapport.

Vérifications des pièces jointes

Les noms de fichiers des pièces jointes sont analysés pour 22 extensions exécutables ou script connues (par ex. .exe, .js, .vbs, .bat, .ps1, .jar, .msi, .hta, .lnk, .reg). Une correspondance est signalée comme Suspect. Les doubles extensions telles que invoice.pdf.exe sont explicitement signalées comme « une technique courante pour masquer des exécutables sous forme de documents ». Les fichiers Office avec macro (.docm, .xlsm, .pptm) sont également marqués Suspect. L’outil compare la signature réelle du fichier avec son extension déclarée ; une discordance est signalée comme Suspect avec les types déclaré et détecté indiqués. Les archives Office modernes (.docx, .xlsx) sont correctement reconnues et ne sont pas signalées comme des archives déguisées. Le contenu des pièces jointes ne quitte jamais le serveur et n’est pas envoyé au modèle IA ; l’IA ne reçoit que le nom du fichier et le type déclaré.

Vérifications des liens

Chaque hyperlien du corps du courriel est examiné pour détecter une disparité entre l’adresse affichée et l’URL cible réelle. Lorsque le texte visible ressemble à une adresse web ou un domaine et que les deux diffèrent, le lien est signalé comme Suspect et les deux hôtes sont affichés. Un texte d’appel à l’action générique tel que « Cliquez ici » ne déclenche jamais cette vérification, garantissant que les boutons normaux ne sont pas marqués. Les liens ne sont jamais visités et aucun service de réputation externe n’est consulté.

Examen IA

En plus des vérifications techniques, un examen IA unique traite le sujet, le corps en texte brut, l’adresse de l’expéditeur, le nom affiché de l’expéditeur, la liste des pièces jointes et toutes les constations techniques. L’IA recherche les noms affichés non concordants, le typosquattage de marques, les domaines ressemblants et les contradictions entre les pièces jointes revendiquées et réelles. Toute contradiction corps‑vs‑pièce jointe est automatiquement classée comme Dangereuse. L’IA génère un récit en langage clair pour le haut du rapport complet, destiné aux utilisateurs non techniques. Si l’examen IA ne peut être terminé mais que les vérifications techniques ont déjà produit des constatations, le verdict technique est affiché avec une note indiquant que l’analyse IA était indisponible. Si l’IA ne peut pas s’exécuter et qu’aucune constatation technique n’existe, la requête échoue plutôt que de retourner un faux résultat « Sûr ».

Limitations transparentes

• Pas de re‑vérification DNS en direct des enregistrements SPF, DKIM ou DMARC.
• Les documents avec macro sont signalés, mais leur code macro n’est pas extrait ni analysé.
• Les pièces jointes ne sont jamais exécutées, ouvertes dans un bac à sable, ou scannées par un moteur antivirus.
• Les liens sont analysés uniquement comme texte ; ils ne sont pas suivis et aucune base de données de réputation n’est utilisée.