Sécurité
Votre clé est publique. Vos e-mails ne sont pas en libre-service.
Envoyer depuis le frontend signifie que votre clé publique figure dans le code source de votre page, où n’importe qui peut la copier. Nous avons conçu Frontmail autour de ce fait. Voici toutes les attaques que nous connaissons, ce qui les bloque et – en toute transparence – ce qui subsiste.
Ce qui vous protège vraiment
N’importe quel script peut falsifier une origine web ou des en-têtes. Nous nous appuyons donc sur ce qu’un attaquant ne peut pas modifier.
Vos modèles
Une clé publique ne peut envoyer que les modèles que vous avez écrits. L’appelant remplit les paramètres – jamais le modèle lui-même.
Contenu verrouillé
Quand l’appelant peut choisir le destinataire, le reste de l’e-mail est verrouillé : liens uniquement vers vos domaines, expéditeur fixe, aucun HTML venu de l’extérieur.
Vérification humaine et limites
CAPTCHA avec vos propres clés Turnstile, limites par IP, par clé, par organisation et par destinataire – le tout vérifié avant qu’un crédit soit consommé.
Les attaques et comment Frontmail les bloque
Du phishing depuis votre domaine
- L’attaque
- Quelqu’un copie votre clé et envoie votre modèle « réinitialisez votre mot de passe » à des inconnus – avec son propre lien. L’e-mail vient de votre domaine et passe SPF et DKIM.
- Comment Frontmail la bloque
- Les modèles dont le destinataire vient des paramètres ont un contenu verrouillé : chaque lien doit pointer vers vos domaines autorisés (y compris les liens en texte brut, les domaines sosies et les astuces du type you.com@evil.com), l’expéditeur et le Reply-To sont fixes, le CAPTCHA est obligatoire et chaque destinataire ne reçoit que quelques e-mails de ce type par jour. Tout est vérifié avant l’envoi.
- Ce qui subsiste
- Votre e-mail légitime peut toujours atteindre un inconnu – sans rien dedans que l’attaquant contrôle.
Un formulaire inondé de spam
- L’attaque
- Un script remplit votre formulaire de contact des milliers de fois.
- Comment Frontmail la bloque
- CAPTCHA par modèle, limites par IP (IPv6 comptée par réseau), par clé et par organisation, détection d’anomalies, contrôles côté serveur des navigateurs headless et des listes de blocage.
- Ce qui subsiste
- Sans CAPTCHA, un attaquant patient disposant de nombreuses adresses IP peut encore en faire passer quelques-uns.
Origine falsifiée, scripts et fausses applis
- L’attaque
- Des requêtes envoyées par un script qui se fait passer pour votre site – ou qui n’envoie aucune origine.
- Comment Frontmail la bloque
- Les requêtes sans origine sont refusées, sauf si vous activez les applications mobiles. Les requêtes web doivent passer votre propre widget Turnstile, émis sur le même domaine.
- Ce qui subsiste
- Une origine falsifiée passe la liste des domaines autorisés ; ce sont le CAPTCHA et les limites qui l’arrêtent.
Vider vos crédits ou votre carte
- L’attaque
- Des envois inutiles pour épuiser votre quota, votre découvert et vos recharges automatiques.
- Comment Frontmail la bloque
- Le trafic avec une clé publique n’utilise jamais le découvert et ne déclenche jamais de recharge automatique, sauf si vous l’autorisez. La file d’attente est plafonnée. La recharge automatique a des limites mensuelles.
- Ce qui subsiste
- Les envois inutiles qui passent le CAPTCHA peuvent consommer vos crédits ordinaires – jamais d’argent supplémentaire.
Bloquer votre formulaire pour les vrais visiteurs
- L’attaque
- Un déluge peu coûteux de requêtes invalides pour épuiser vos limites.
- Comment Frontmail la bloque
- Les limites à l’échelle de l’organisation ne comptent que les requêtes qui ont passé les contrôles du modèle et du CAPTCHA. Un pare-feu en périphérie absorbe le reste, et nos serveurs n’acceptent le trafic que par son intermédiaire.
- Ce qui subsiste
- Une attaque distribuée de très grande ampleur peut ralentir le service.
Une clé privée divulguée
- L’attaque
- La clé secrète se retrouve dans du code exécuté par le navigateur et quelqu’un la copie.
- Comment Frontmail la bloque
- Nos SDK navigateur refusent de fonctionner avec une clé privée, et l’API refuse les clés privées provenant de pages web, sauf activation explicite. Les clés ne sont stockées que sous forme de hachage et peuvent être renouvelées instantanément.
- Ce qui subsiste
- Quiconque détient votre clé privée peut envoyer sans CAPTCHA – gardez-la sur votre serveur.
Pièces jointes malveillantes
- L’attaque
- Un logiciel malveillant envoyé sous forme de fichier, à vous ou à un destinataire.
- Comment Frontmail la bloque
- Les pièces jointes depuis le navigateur sont désactivées, sauf si un modèle les autorise. Exécutables, scripts, HTML, images disque et documents à macros sont bloqués – y compris derrière des astuces comme facture.pdf.exe ou des caractères invisibles.
- Ce qui subsiste
- Des documents ordinaires peuvent encore contenir du contenu nuisible ; votre antivirus de messagerie reste le dernier rempart.
Injection de HTML ou de script
- L’attaque
- Glisser des balises <script>, des pixels de suivi ou de faux formulaires dans un paramètre.
- Comment Frontmail la bloque
- Les paramètres sont toujours échappés, les paramètres HTML passent par un assainisseur à liste blanche, les URL dangereuses sont neutralisées et les sauts de ligne ne peuvent pas injecter d’en-têtes d’e-mail.
- Ce qui subsiste
- Rien de connu.
Prise de contrôle de votre compte
- L’attaque
- Mots de passe devinés, sessions volées, boîte mail compromise.
- Comment Frontmail la bloque
- Authentification à deux facteurs sur toutes les méthodes de connexion, limites de tentatives, liens de réinitialisation à usage unique qui déconnectent tous les appareils, changements d’adresse e-mail confirmés depuis l’ancienne adresse, rôles au moindre privilège et journal d’audit.
- Ce qui subsiste
- Activez la 2FA – c’est la seule étape que vous seul pouvez franchir.
Accéder aux données d’autres clients
- L’attaque
- Tenter d’atteindre les messages, les soumissions de formulaire ou les fichiers d’un autre client.
- Comment Frontmail la bloque
- Chaque accès est limité à votre organisation – historique, modèles et fichiers joints. L’historique n’est lisible qu’avec la clé privée ou par votre équipe.
- Ce qui subsiste
- Rien de connu.
Harceler une personne
- L’attaque
- Utiliser un modèle à destinataire dynamique pour bombarder une adresse d’e-mails.
- Comment Frontmail la bloque
- Chaque adresse ne reçoit que quelques e-mails de ce type par jour de la part de votre organisation, réponses automatiques comprises. Les adresses en rejet ou qui signalent du spam sont supprimées automatiquement.
- Ce qui subsiste
- Une poignée de vos e-mails légitimes par jour.
Un SDK compromis
- L’attaque
- Du code malveillant glissé dans le script que charge votre site.
- Comment Frontmail la bloque
- Les versions sont construites sans secrets et publiées avec une provenance vérifiable. Chargez le SDK depuis une version figée avec un hachage d’intégrité et votre navigateur refusera toute modification.
- Ce qui subsiste
- Figez la version – une URL sans version charge toujours la dernière.
Votre part
Cinq minutes dans les paramètres de sécurité suffisent à combler les failles que vous seul pouvez combler.
- Ajoutez vos domaines aux origines autorisées.
- Ajoutez vos propres clés Turnstile et exigez le CAPTCHA sur les formulaires publics.
- N’utilisez un destinataire dynamique que là où c’est nécessaire et listez les domaines de vos liens.
- Gardez la clé privée sur votre serveur.
- Activez l’authentification à deux facteurs pour toute votre équipe.
Pourquoi nous vous disons ce qui subsiste
Aucun service qui envoie des e-mails depuis le navigateur ne peut rendre une clé publique secrète. Nous préférons vous montrer précisément où sont les limites plutôt que promettre ce que personne ne peut tenir.