L’authentification Gmail vérifie un domaine d’envoi, pas une affirmation amoureuse

Ce que montrent réellement les lignes d’authentification de Gmail

Lorsque vous ouvrez les détails d’un message dans Gmail, vous pouvez voir des lignes telles que « Mailed by » et « Signed by », ainsi qu’un avertissement lorsqu’un expéditeur n’est pas authentifié. Ces lignes concernent le domaine d’envoi : s’il était autorisé à envoyer et si une signature est présente. Ce sont des contrôles sur l’infrastructure de messagerie, pas sur l’identité d’un expéditeur amoureux ni sur la véracité du contenu du message. Gmail précise lui-même que les messages non authentifiés ne sont pas nécessairement du spam, et que même les spammeurs peuvent réussir ces contrôles. Lisez ces lignes comme un petit signal technique parmi d’autres, non comme un verdict. [Aide Gmail : authentification des messages]

• Ouvrez les détails du message uniquement pour votre propre examen ; ne transmettez pas les en-têtes privés complets à des inconnus ou à des sites web inconnus.

Une réussite n'est pas une preuve de confiance, et un échec n'est pas une preuve de culpabilité

L'erreur courante se produit dans les deux sens. Un message qui affiche les lignes Mailed by et Signed by peut toujours être une arnaque provenant d'un domaine créé dans ce but, car l'authentification ne concerne que l'autorisation d'envoi et les signatures. Un message qui échoue à ces vérifications peut provenir d'un expéditeur légitime mais mal configuré. Aucun de ces résultats ne vous dit si la personne qui écrit est bien celle qu'elle prétend être, si une histoire de rencontre est réelle, ou si une demande est sûre. Gardez l'observation séparée de la décision : la ligne technique incite à la prudence, tandis que votre décision doit reposer sur une vérification indépendante.

Traitez la demande avant de débattre de l'expéditeur

Si un message issu d'un contexte de rencontre demande de l'argent, des codes de connexion, l'accès à un compte, des cartes cadeaux ou des documents d'identité, l'action protectrice prime. Ne répondez pas à l'exigence suspecte et n'utilisez pas les coordonnées fournies dans ce message. Contactez plutôt la personne ou le fournisseur via un numéro de téléphone, une application ou un site web que vous connaissiez déjà avant l'arrivée du message. Si vous avez déjà partagé des identifiants, changez le mot de passe concerné et activez l'authentification multifacteur lorsqu'elle est proposée. Ces étapes limitent les dommages pendant que vous cherchez à comprendre ce qui s'est passé, et elles ne vous obligent pas à décider dès maintenant si l'expéditeur est malhonnête. [FTC : Comment reconnaître et éviter les arnaques par hameçonnage]

• Ne répondez pas à l'exigence et n'utilisez pas les coordonnées figurant dans le message lui-même.
• Changez tout mot de passe que vous avez saisi et activez l'authentification multifacteur sur ce compte.
• Contactez la personne ou le fournisseur via une voie à laquelle vous faisiez déjà confiance.

Garder les en-têtes privés à l'écart des outils tiers

Il est tentant de coller un courriel complet dans un site gratuit de vérification d'en-têtes pour obtenir un verdict rapide. Cela transmet du contenu privé, des adresses et des données de routage à un opérateur inconnu, et le résultat n'établirait toujours pas qui est l'expéditeur. Si vous souhaitez inspecter le message, gardez-le dans l'interface de messagerie que vous utilisez déjà et lisez-y les lignes visibles. Si un outil ou une personne vous demande le message brut complet, considérez cela comme une limite d'accès : refusez et arrêtez. Le résultat de l'authentification, aussi détaillé soit-il, ne remplace pas la vérification d'une demande auprès de quelqu'un que vous connaissez indépendamment. [Aide Gmail : authentification des messages]

Un exemple concret, clairement hypothétique

Supposons qu'une correspondance de rencontre envoie un message qui semble correctement authentifié et vous demande de confirmer un paiement pour un voyage partagé à l'aide d'un lien dans le même fil. Les lignes d'authentification réussies vous indiquent que le domaine d'envoi était autorisé à envoyer ; elles ne disent rien sur la réalité du voyage ou de la personne. La voie la plus sûre est d'ignorer le lien, de contacter la personne par un canal que vous possédez déjà et de décrire la demande simplement. Si vous ne trouvez pas de voie indépendante, n'envoyez pas d'argent sur la seule foi du courriel. Si en revanche le message porte un avertissement d'expéditeur non authentifié, c'est une raison supplémentaire de faire une pause, et non la conclusion que la correspondance est frauduleuse. [Aide Gmail : authentification des messages]

• Notez par écrit ce que le message demande avant de décider quoi que ce soit.
• Utilisez une voie de contact déjà connue pour confirmer la demande.
• Refusez d'agir tant que la vérification est indisponible, et dites-le clairement.

Si le contrôle ou l'information est indisponible

Parfois, la vue des détails n'affiche pas les lignes que vous espériez lire, ou la bannière est absente, ou vous ne trouvez pas de voie de contact indépendante. Consignez que l'information est indisponible et arrêtez-vous à la limite d'accès plutôt que de deviner. Demandez à la personne, par une voie à laquelle vous faites confiance, un lien actuel fourni volontairement ou un autre moyen de confirmer. Ne considérez pas un badge manquant, un avertissement absent ou un message discret comme un signe de sécurité ou de culpabilité. Une lacune dans ce que vous pouvez voir n'est qu'une lacune. [FTC : Comment reconnaître et éviter les arnaques par hameçonnage]

Revenir calmement à la conversation

Une fois toute préoccupation liée à un compte ou à de l'argent traitée, vous pouvez revenir à la conversation sans accuser personne. Posez une question simple et précise sur la raison de la demande et sur la manière de la confirmer par une voie que vous connaissez tous les deux. Gardez à l'esprit que les détails d'un profil public, une photo correspondante ou un statut d'apparence vérifiée ne prouvent ni l'identité ni l'intention. Votre objectif est une décision pratique sur la suite à donner, et non un jugement sur le caractère de l'autre personne. Si la personne refuse une confirmation indépendante, ce refus est une information utile pour votre propre décision. [Aide Gmail : authentification des messages]

Encore quelques questions