Risques de distribution
Les analyseurs d’e-mails peuvent-ils ouvrir un lien Collogue ?
Comment les aperçus de liens et les analyseurs interagissent avec une URL chiffrée dans le navigateur.
Publié le: 30 janvier 2026
Limites de l’implémentation actuelle
Les liens Collogue actuels portent la charge utile chiffrée dans l’URL. Le navigateur utilise l’API Web Crypto : PBKDF2-SHA-256 avec 310 000 itérations dérive une clé AES-GCM de 256 bits à partir du mot de passe saisi séparément, avec un sel aléatoire de 16 octets et un IV de 12 octets. Le client actuel n’envoie aucune requête à une API applicative pour créer, récupérer ou stocker des messages.
Le mot de passe n’est pas encodé dans le lien. L’implémentation ne fournit ni affichage à usage unique, ni suppression côté serveur, ni minuteur d’expiration. Considérez le lien complet comme sensible et transmettez le mot de passe par un autre canal.
Contexte complémentaire
Les systèmes de messagerie modernes ne se contentent pas de livrer du texte. Ils inspectent les URL, les réécrivent, ouvrent les destinations dans des environnements d’analyse, produisent des aperçus et effectuent des contrôles lorsqu’un utilisateur clique. Microsoft Safe Links prend notamment en charge la réécriture d’URL et la vérification au moment du clic. Les autres passerelles et outils collaboratifs ont leurs propres comportements.
- réécrire l’URL d’origine ;
- demander la destination pendant la distribution ;
- la demander lorsque le destinataire clique ;
- suivre les redirections ;
- afficher la page dans une sandbox ;
- créer un aperçu ;
- inspecter les ressources liées ;
- enregistrer les métadonnées du clic ;
- revisiter l’URL plus tard.
Tous les produits ne font pas tout cela. Les politiques diffèrent selon l’organisation.
Avec la conception actuelle, exécutée uniquement dans le navigateur, aucun message côté serveur ne peut être consommé. Une requête vers l’URL peut toutefois exposer l’URL elle-même à une passerelle ou à un service d’aperçu ; elle ne peut pas déchiffrer la charge utile sans le mot de passe transmis séparément.
Le filtrage par user-agent n’est pas fiable : les user-agents peuvent être absents, génériques ou falsifiés. Ne le considérez pas comme une protection de la vie privée.
La documentation de Microsoft décrit à la fois l’analyse des URL et la vérification au moment du clic. Les administrateurs peuvent configurer la réécriture et les exceptions. D’autres produits de sécurité peuvent analyser les liens pendant la distribution ou dans des sandboxes.
« Safe Links ne peut jamais affecter Collogue. »
L’affirmation défendable est que des systèmes de sécurité peuvent traiter les URL. Collogue ne crée pas d’événement de lecture côté serveur, mais le lien complet doit tout de même être considéré comme sensible.
- N’ouvrez pas le lien final du destinataire pour le tester.
- Demandez au destinataire de garder le lien privé et d’utiliser le mot de passe transmis séparément.
- Utilisez un identifiant temporaire et révocable.
- Si le lien ou le mot de passe a pu parvenir à la mauvaise personne, remplacez l’identifiant.
- Évitez les raccourcisseurs d’URL publics et les services d’analyse.
- Vérifiez l’adresse de destination avant l’envoi.
- Testez l’environnement de messagerie de votre organisation avec des exemples non sensibles.
Dans les environnements d’entreprise gérés, les administrateurs peuvent parfois configurer des domaines de confiance. Ces exceptions réduisent la protection contre l’analyse pour ce domaine et doivent être examinées avec prudence.
- N’ouvrez le lien que lorsque vous êtes prêt à utiliser l’information.
- Ne le collez pas dans un vérificateur d’URL en ligne.
- Ne le transférez pas sans précaution.
- S’il ne s’ouvre pas, vérifiez que l’URL complète et le mot de passe ont été correctement copiés.
- Considérez un mot de passe, un jeton ou un code de récupération comme potentiellement exposé jusqu’à son remplacement.
Microsoft Safe Links peut effectuer une vérification au moment du clic et une réécriture d’URL selon la politique appliquée. Ce traitement peut ajouter des requêtes ou des redirections avant l’affichage de la page finale.
La détection par user-agent est incomplète et facile à contourner. Elle peut aider au diagnostic, mais ne prouve pas qu’une requête provient d’une personne.
Si le lien et le mot de passe peuvent tous deux être exposés, révoquez ou changez l’identifiant, créez-en un nouveau et envoyez un nouveau lien. Ne renvoyez pas le même secret.
Collogue peut réduire l’exposition persistante dans les e-mails et les chats, mais ne peut pas contrôler chaque analyseur de liens ni chaque politique de distribution.