Qu’est-ce que le transfert de courriels ?
Le transfert de courriels remet automatiquement un message reçu par une adresse ou un domaine à une autre destination. Il peut servir à distribuer le courrier, à intégrer un service ou à maintenir une adresse publique tout en centralisant les boîtes de réception.
Comment fonctionne le transfert de courriels
Le serveur reçoit le message, évalue une règle puis crée une nouvelle remise vers la destination. Selon la configuration, l’adresse d’enveloppe, les en-têtes d’authentification et l’adresse d’origine peuvent être conservés ou réécrits.
1. Email sent to: [email protected]
2. Mail server receives at MX: mail.example.com
3. Server checks forwarding rules
4. Email forwarded to: [email protected]
5. Team receives email (appears from original sender)
Types de transfert de courriels
Le choix dépend du nombre de destinations, des conditions et du périmètre de la règle.
Transfert simple
Une adresse est redirigée vers une seule destination.
[email protected] → [email protected]Transfert vers plusieurs destinations
Une adresse peut distribuer le message à plusieurs équipes ou services.
[email protected] → {
}
Transfert conditionnel
Une règle peut examiner l’objet, l’expéditeur, le destinataire ou d’autres attributs avant de choisir la destination.
If subject contains "urgent" → [email protected]
If from VIP domain → [email protected]
Else → [email protected]
Transfert au niveau du domaine
Une règle de domaine peut transférer une famille d’adresses vers un autre domaine. Définissez les exceptions avant d’activer une règle générale.
*@old-domain.com → *@new-domain.comConfigurer le transfert de courriels
Documentez chaque règle, contrôlez les droits de modification et testez les destinations avant de la mettre en production.
cPanel
L’interface cPanel permet d’ajouter un forwarder pour une adresse ou un domaine. Vérifiez la destination et la conservation éventuelle d’une copie.
1. Email → Forwarders
2. Add Forwarder
3. Address to Forward: [email protected]
4. Forward to: [email protected]
5. Add Forwarder
Postfix sous Linux
Postfix peut appliquer des alias et des domaines virtuels. Restreignez les règles aux destinataires contrôlés afin d’éviter un relais ouvert.
# /etc/aliases
sales: [email protected]
# Or for virtual domains
# /etc/postfix/virtual
[email protected] [email protected]
# Apply changes
newaliases # For /etc/aliases
# or
postmap /etc/postfix/virtual && systemctl reload postfix
Transfert Gmail
Dans Gmail, ajoutez et vérifiez l’adresse de transfert, puis choisissez si la copie reste dans la boîte d’origine.
1. Settings → Forwarding and POP/IMAP
2. Add a forwarding address
3. Verify forwarding address (click link in confirmation email)
4. Enable forwarding
5. Choose what to do with original (keep, archive, delete)
Microsoft 365 (transfert)
Dans le centre d’administration, configurez le transfert pour les utilisateurs concernés et appliquez les restrictions de transfert externe.
1. Admin Center → Users → Active users
2. Select user → Mail tab
3. Email forwarding → Manage email forwarding
4. Forward all email to: [email protected]
5. Save changes
Google Workspace (à l’échelle du domaine)
Les règles de routage de Google Workspace peuvent agir au niveau du domaine. Définissez précisément les unités, les exceptions et les journaux à conserver.
1. Admin Console → Apps → Google Workspace → Gmail
2. Routing → Add Route
3. For recipient: Single recipient or All recipients
4. Forward to: [email protected]
5. Options: Change route, Modify headers
Transfert de courriels et alias
Un alias accepte plusieurs adresses pour une même boîte, tandis qu’un transfert remet le message à une autre adresse.
| Caractéristique | Transfert | Alias |
|---|---|---|
| Destination | Autre adresse | Même boîte |
| Conservation de l’adresse originale | Non | Oui |
| Apparition dans la boîte | Non | Oui, comme alias |
| Authentification | Peut casser SPF/DKIM | Préserve l’authentification |
| Usage idéal | Routage externe | Plusieurs adresses vers une boîte |
Alias:
[email protected] } → Same mailbox
[email protected] } (both deliver to mailbox, different addresses)
Forwarding:
[email protected] → [email protected]
(only delivers to [email protected], nothing in sales mailbox)
SPF et transfert de courriels
Le transfert peut modifier le chemin SMTP et faire apparaître le serveur de transfert comme expéditeur effectif. Les politiques SPF doivent donc être conçues avec ce comportement en tête.
Le problème
SPF vérifie l’adresse IP de l’enveloppe. Après un transfert, cette IP peut ne plus être autorisée par le domaine original.
1. Sender: [email protected] sends to [email protected]
2. Forwarder: [email protected] forwards to [email protected]
3. Final server checks SPF:
- Envelope From: [email protected]
- Sending IP: forwarder.com's IP
- SPF Check: Does sender.com authorize forwarder.com's IP?
- Result: Usually FAIL (forwarder not in sender.com's SPF)
Approches
SRS réécrit l’adresse d’enveloppe, tandis qu’ARC conserve des informations d’authentification attestées par les intermédiaires. Utilisez une solution cohérente avec votre fournisseur et surveillez les résultats.
Forwarder rewrites envelope sender:
Original: MAIL FROM: <[email protected]>
Rewritten: MAIL FROM: <[email protected]>
Now SPF checks forwarder.com's SPF (passes)
# Install postsrsd
apt-get install postsrsd
# /etc/postfix/main.cf
sender_canonical_maps = tcp:127.0.0.1:10001
recipient_canonical_maps = tcp:127.0.0.1:10002
systemctl restart postsrsd postfix
ARC-Authentication-Results: forwarder.com;
spf=pass smtp.mailfrom=sender.com
dkim=pass header.d=sender.com
DKIM et transfert
DKIM signe le contenu et certains en-têtes. Un transfert peut préserver la signature si le message reste inchangé, mais toute modification peut provoquer un échec.
Modifications courantes qui cassent DKIM
Les disclaimers, les changements d’encodage, la réécriture de l’objet ou des en-têtes et la normalisation du corps peuvent invalider la signature.
Préserver DKIM
Évitez de modifier le corps, conservez les en-têtes signés et ajoutez ARC lorsque plusieurs intermédiaires doivent transmettre le résultat d’authentification.
# Postfix: Don't add disclaimers to forwarded mail
smtpd_discard_ehlo_keywords = silent-discard
# Add forwarder's DKIM signature
# Original sender's signature may break, but forwarder's passes
Bonnes pratiques pour le transfert de courriels
Limitez le nombre de règles, documentez les propriétaires et mesurez les échecs de remise, les boucles et les modifications d’authentification.
Utiliser le transfert avec parcimonie
Préférez un routage explicite et stable aux chaînes de transferts difficiles à diagnostiquer.
Instead of: [email protected] → [email protected]
Use: John checks [email protected] directly via IMAP/webmail
Mettre en œuvre SRS pour le transfert externe
SRS réduit les échecs SPF lorsque l’enveloppe est réécrite par un service de transfert.
Internal forwarding: [email protected] → [email protected] (safe)
External forwarding: [email protected] → [email protected] (use SRS)
Surveiller les boucles de transfert
Limitez les sauts et alertez lorsqu’une adresse réapparaît plusieurs fois dans la chaîne.
A forwards to B
B forwards to A
= Loop
Solution: Postfix max_hop_count limit (default 50)
Configurer les notifications de remise
Activez les notifications utiles et envoyez-les à une boîte surveillée, sans créer un nouveau transfert en boucle.
# Postfix
notify_classes = bounce, resource, software
Documenter les règles de transfert
Conservez la source, la destination, le but, le propriétaire et la date de chaque règle.
# forwarding-rules.md
| From | To | Purpose | Owner | Created |
|------|----|---------| ------|---------|
| [email protected] | [email protected] | CRM integration | IT | 2024-01 |
Audits réguliers
Réexaminez les transferts actifs, supprimez les destinations obsolètes et vérifiez les politiques d’authentification.
# List all forwards (Postfix)
grep -v "^#" /etc/postfix/virtual | grep "@.*@"
# Check for outdated destinations
# Remove forwards for terminated employees
Problèmes courants de transfert
La plupart des incidents viennent d’une règle non appliquée, d’un échec SPF, d’un délai de file ou d’un filtrage antispam.
Le transfert échoue silencieusement
Vérifiez les journaux, les permissions, la destination, les quotas et les règles d’exclusion.
# Check mail logs
tail -f /var/log/mail.log | grep "forwarding"
# Test forwarding
echo "Test" | mail -s "Test" [email protected]
# Check if it arrives at destination
Échecs SPF sur les courriels transférés
Examinez le domaine d’enveloppe, SRS et ARC. Ne remplacez pas une politique stricte par une autorisation globale sans en mesurer le risque.
Retards de transfert
Contrôlez les files, les nouvelles tentatives, les limites du fournisseur et le temps de réponse de la destination.
# Check Postfix queue
mailq
# Process queue immediately
postqueue -f
La destination classe le courriel transféré comme spam
Vérifiez la réputation, DKIM, DMARC, l’enveloppe et le contenu ajouté par le relais.
Transfert pour des cas d’utilisation particuliers
Les règles doivent être limitées au cas d’usage prévu et désactivées lorsqu’elles ne sont plus nécessaires.
Transfert temporaire (vacances)
Définissez une date de début et de fin et conservez une copie locale si les messages doivent être traités au retour.
# .forward file (user home directory)
\myuser, [email protected]
# Delivers to both user's mailbox and colleague
Transfert avec copie locale
Conservez une copie dans la boîte d’origine lorsque la destination externe ne constitue pas l’archive de référence.
# Keep copy in original mailbox while forwarding
# Postfix virtual:
Distribution à un service
Un service ou une équipe peut recevoir les messages via une liste ou un alias dédié.
# /etc/aliases
sales: [email protected], [email protected], [email protected]
Intégration d’un service externe
Les systèmes de tickets, CRM et outils d’automatisation doivent recevoir une adresse contrôlée, avec authentification et règles de reprise.
# Forward to ticket system
[email protected] → [email protected]
# Forward to Slack email
Considérations de sécurité
Un transfert externe peut exposer des informations et contourner les contrôles prévus pour la boîte originale. Appliquez le principe du moindre privilège.
Transfert vers une adresse personnelle
Restreignez ou interdisez le transfert automatique vers des boîtes personnelles lorsque les messages contiennent des données professionnelles.
Divulgation d’un transfert externe
Informez les propriétaires et les utilisateurs lorsqu’une règle remet des messages à l’extérieur du domaine.
Le transfert comme vecteur d’attaque
Un attaquant peut créer une règle cachée pour exfiltrer les messages. Journalisez les changements, protégez les comptes administrateurs et alertez sur les nouvelles destinations.
# Detection
# Alert on new forwarding rules:
monitor /etc/postfix/virtual for changes
monitor Exchange/M365 forwarding rule creations
Tester le transfert de courriels
Envoyez des messages de test, vérifiez les en-têtes à l’arrivée, observez SPF/DKIM/DMARC et confirmez que les règles d’exception, les copies et les délais correspondent à la documentation.
# Send test email
echo "Test forwarding" | mail -s "Forwarding Test" [email protected]
# Check logs on forwarding server
tail -f /var/log/mail.log
# Verify arrival at destination
# Check destination mailbox
Send email through forwarding chain
Check authentication headers at destination:
Authentication-Results: destination.com;
spf=pass (forwarder: domain of source.com designates <IP> as permitted sender)
dkim=pass header.d=source.com