Votre organisation souhaite tester le comportement de vos collaborateurs face à des attaques par phishing.Vont-ils se faire piéger ou bien les esquiver ?
Pour que l'entraînement soit réaliste et efficace, les faux mails envoyés par Kamaé doivent impérativement arriver dans les boîtes mail des collaborateurs ciblés. Il faut éviter à tout prix qu’ils soient considérés comme du spam ou bloqués par votre infrastructure.
Pour y parvenir, nous utilisons une méthode appelée whitelisting : elle consiste à déclarer comme sûrs les emails et les liens utilisés par Kamaé, afin qu’ils ne soient pas bloqués par vos dispositifs de sécurité habituels (antispam, firewall, antivirus…)
Pourquoi le whitelisting plutôt que les API Microsoft ou Google ?
Certaines plateformes proposent une autre méthode : injecter directement les emails dans les boîtes de réception des utilisateurs via les API Microsoft Graph ou Google Workspace. Cette technique contourne les protections natives, mais elle présente plusieurs risques que nous avons choisi d’éviter chez Kamaé :
Manque de granularité : ces API donnent un accès en lecture et écriture à l’ensemble des boîtes mail de votre organisation, ce qui va bien au-delà des besoins d’une campagne de phishing simulé.
Surface d’attaque plus large : elles permettent d’utiliser n’importe quel domaine pour l’envoi, y compris des domaines qui ne sont pas détenus par Kamaé, ce qui augmente les risques d’exploitation.
Contraintes de sécurité : dans de nombreux contextes, ces niveaux d'accès sont incompatibles avec les bonnes pratiques en matière de cybersécurité ou les politiques internes.
Nous avons donc fait le choix de ne pas proposer cette méthode. Le whitelisting, bien qu’il demande une configuration initiale, est plus respectueux de votre sécurité et de vos règles de gouvernance.
Étape 1 — Identifier les barrières techniques
Avant toute configuration, il est essentiel d’identifier les différentes couches de sécurité susceptibles de bloquer :
Les emails envoyés par Kamaé
L’ouverture des liens contenus dans ces emails
Voici une liste non exhaustive des dispositifs qui peuvent intervenir dans ce filtrage :
Microsoft 365 (Defender, Exchange)
Google Workspace
Anti-spams et Firewalls : MailInBlack, Proofpoint, Fortinet, Sophos, Altospam, Barracuda, etc.
Antivirus installés sur les postes des collaborateurs
Étape 2 — Mettre en place un whitelisting spécifique à Kamaé
Une fois les barrières identifiées, l’objectif est de les contourner en toute sécurité en configurant un whitelisting ciblé.
Cela consiste à :
Autoriser les adresses IP utilisées par Kamaé pour l’envoi des emails
Autoriser les domaines et sous-domaines utilisés pour les liens de phishing simulé
Cette configuration garantit que :
Les emails ne sont ni bloqués ni redirigés en spam
Les liens contenus dans les emails s’ouvrent correctement sur les postes utilisateurs
Une documentation détaillé est là pour vous aider: