J’étais plutôt content de voir ma boîte de réception redevenir utilisable. Beaucoup moins quand j’ai appris qu’un vrai message attendait depuis deux jours dans la quarantaine. Pour comprendre cette erreur, il faut regarder le courriel avant qu’il arrive dans Outlook.

Le serveur expéditeur cherche l’enregistrement MX du domaine dans DNS, ouvre une connexion SMTP et présente une enveloppe avec l’expéditeur et le destinataire. La passerelle reçoit ensuite les en-têtes, le corps et les pièces jointes. C’est à ce moment qu’un filtre peut attribuer des points à plusieurs signaux.

Internet -> passerelle SMTP -> antivirus -> score antipourriel
                                      |        |
                                      |        +-> livrer
                                      |        +-> quarantaine
                                      |        +-> refuser
                                      +-> pièce jointe infectée

Aucun indice ne dit la vérité seul. Une adresse IP récemment utilisée pour du pourriel ajoute peut-être trois points. Une configuration SPF incohérente en ajoute deux. Une pièce jointe suspecte, un corps entièrement en image ou certains liens en ajoutent d’autres. Un modèle bayésien peut aussi comparer la fréquence des mots avec des messages déjà classés.

réputation IP          +3
URL déjà signalée      +4
message HTML étrange   +2
expéditeur connu       -3
score total             6 -> quarantaine

Le seuil transforme un doute en action. À 5, le message ci-dessus disparaît de la boîte; à 8, il passe. Le choix n’est donc pas seulement technique. Pour une adresse personnelle, laisser passer quelques cochonneries coûte du temps. Pour une boîte de commandes, perdre un seul client peut coûter beaucoup plus cher.

Le filtre travaille avec une identité imparfaite

SMTP a été conçu dans un monde plus confiant. Le champ From: visible peut être falsifié. SPF, qui commence à être déployé, permet au domaine d’indiquer quels serveurs peuvent envoyer pour lui, mais son absence ne prouve pas qu’un message est faux et les transferts compliquent le contrôle. La réputation d’une adresse IP aide, jusqu’au moment où un serveur légitime est compromis.

Les pièces jointes compressées et le HTML demandent aussi du travail. Le filtre doit décompresser sans se laisser épuiser par une archive énorme, suivre les liens sans exécuter du contenu dangereux et imposer une limite de temps. Un message qui dépasse la capacité d’analyse doit recevoir une décision explicite; il ne devrait pas bloquer toute la file SMTP.

La quarantaine fait partie de la conception, pas du ménage après coup. Elle doit montrer pourquoi le message a été arrêté, permettre de le libérer et nourrir l’ajustement futur. Une liste blanche trop large crée toutefois un autre trou : si on fait confiance à tout ce qui prétend venir d’un partenaire, il suffit d’imiter son adresse.

Je surveillerais donc deux mesures séparées : le pourcentage de pourriel livré et le nombre de messages légitimes bloqués. Le deuxième chiffre exige un bouton de signalement et un échantillon de quarantaine; il ne se déduit pas du volume rejeté.

Les spammeurs vont changer leurs formats dès qu’un signal devient trop efficace. Je garderais le filtre, mais avec des définitions à jour, un seuil différent pour les boîtes critiques et une quarantaine révisée par quelqu’un. Une boîte propre n’est pas la bonne mesure si les messages importants ont seulement été cachés ailleurs.