Comment les pièces jointes sont analysées : ce qui existe et à quoi cela sert

Une pièce jointe fait beaucoup de chemin avant d’arriver sous vos yeux. Elle passe par les serveurs du service de messagerie, traverse des analyses automatiques, elle est parfois ouverte dans un espace clos pour voir comment elle se comporte, et quand vous la téléchargez elle rencontre les défenses du programme qui l’ouvre et du système d’exploitation. Presque tout se déroule en silence, et c’est bien pour cela que l’on se demande rarement comment les pièces jointes sont analysées.

Le savoir sert à deux choses : laisser actives les protections que vous avez déjà, sans les éteindre par commodité, et comprendre où elles s’arrêtent. Aucune analyse automatique n’est infaillible, et la dernière décision revient toujours à une personne.

Cet article passe en revue les technologies concernées, avec leurs apports et leurs limites réelles, sans désigner de produits particuliers. C’est le complément technologique de la recommandation qui invite à ne pas ouvrir les pièces jointes d’origine inconnue.

Comment les pièces jointes sont analysées, et comment lire cette liste

Les technologies sont organisées en quatre fonctions, les mêmes que celles utilisées dans l’article sur que faire après avoir ouvert une pièce jointe suspecte :

• prévention — éviter qu’un fichier nuisible arrive ou parvienne à agir ;
• détection — s’apercevoir qu’un fichier n’est pas ce qu’il paraît ;
• réponse — isoler le problème et remettre les choses en ordre ;
• gouvernance — garder de la méthode dans la durée, surtout quand les appareils et les personnes sont nombreux.

Pour chacune, vous trouverez le risque qu’elle réduit, ses apports, ses limites réelles et sa complexité d’usage.

Une idée traverse toute la liste : ces défenses fonctionnent par couches. Chacune arrête une partie des fichiers dangereux ; c’est la somme des couches, et non une analyse isolée, qui rend improbable qu’une pièce jointe nuisible aille jusqu’au bout.

1. Technologies de prévention

Filtres du service de messagerie

Les analyses que le service de messagerie applique à chaque pièce jointe avant de la livrer dans votre boîte.

• Risque réduit : pièces jointes contenant un programme nuisible déjà connu, formats de fichiers dangereux, messages venant d’expéditeurs à mauvaise réputation.
• Apports : ils travaillent sur tous les messages, sans que vous ayez à les activer ; ils comparent le fichier aux signatures des logiciels malveillants connus (une signature est l’empreinte qui identifie un programme nuisible déjà vu) ; beaucoup de services refusent les fichiers exécutables, c’est-à-dire les programmes qui se lancent d’un double clic, même à l’intérieur d’une archive compressée ; ils s’améliorent grâce aux signalements des personnes qui les reçoivent.
• Limites : ils reconnaissent mieux ce qui a déjà été vu ; une archive protégée par un mot de passe ne peut pas être inspectée ; si la « pièce jointe » est en réalité un lien vers un fichier hébergé ailleurs, il n’y a rien à analyser dans le message ; un message venant du compte piraté d’une personne que vous connaissez hérite de sa bonne réputation.
• Exemple d’usage : une fausse facture au format exécutable n’arrive jamais dans votre boîte : le service la bloque.
• Complexité : faible (elle est déjà active).

Analyse en environnement isolé (bac à sable)

Un bac à sable (sandbox) est un ordinateur jetable, séparé de tout le reste, dans lequel le fichier est ouvert pour observer ce qu’il fait. S’il tente de télécharger autre chose ou de modifier le système, il est bloqué avant de vous parvenir.

• Risque réduit : fichiers nuisibles récents, qui n’ont pas encore de signature connue.
• Apports : il juge le fichier sur ce qu’il fait, non sur ce qu’il semble être ; il découvre aussi des menaces jamais observées ; si quelque chose tourne mal, cela se produit dans un environnement ensuite effacé.
• Limites : certains fichiers s’aperçoivent qu’ils sont observés et restent inertes ; l’analyse peut retarder la livraison de quelques minutes ; elle est plus répandue dans les services destinés aux entreprises que dans les comptes personnels.
• Exemple d’usage : un document d’apparence inoffensive, ouvert dans le bac à sable, tente de télécharger un programme ; le service le retient et vous affiche un avertissement à la place de la pièce jointe.
• Complexité : faible pour la personne qui reçoit, élevée pour celle qui l’administre.

Affichage protégé des documents

Un mode dans lequel les programmes de bureautique ouvrent en lecture seule les fichiers venus d’internet ou de la messagerie, avec de nombreuses fonctions désactivées. Un bandeau en haut signale que le document provient d’une source externe.

• Risque réduit : documents qui exploitent des fonctions actives ou une faille du programme pour exécuter du code.
• Apports : vous lisez le contenu sans lui donner la possibilité d’agir ; il est actif par défaut dans les versions récentes des principaux programmes de bureautique.
• Limites : un clic sur « activer la modification » suffit à en sortir, et les documents nuisibles sont écrits précisément pour vous convaincre de le faire ; il se déclenche grâce à une étiquette invisible que le système applique aux fichiers venus de l’extérieur, et certaines manipulations, comme l’extraction depuis certaines archives, peuvent la faire disparaître.
• Exemple d’usage : vous lisez un devis reçu par courriel en affichage protégé et, si vous n’avez pas à le modifier, vous n’en sortez pas.
• Complexité : faible.

Macros désactivées par défaut

Les macros sont de petits programmes insérés dans des documents et des feuilles de calcul pour automatiser des opérations répétitives. Utiles au travail, elles ont été pendant des années l’un des moyens les plus utilisés pour dissimuler du code nuisible dans un fichier ordinaire.

• Risque réduit : documents qui, une fois ouverts, lancent un programme nuisible au moyen des macros.
• Apports : les versions récentes des principaux programmes de bureautique bloquent les macros dans les fichiers venus d’internet ; les personnes qui ne les utilisent pas ne perdent rien.
• Limites : dans des versions plus anciennes, le blocage peut se réduire à une demande de confirmation, et le document contient des instructions convaincantes pour vous faire dire oui ; au bureau, quelqu’un a pu assouplir le réglage pour un ancien modèle de fichier.
• Exemple d’usage : un « bon de livraison » au format tableur demande d’activer les macros ; le programme les maintient bloquées.
• Complexité : faible.

Aperçu dans le navigateur

Beaucoup de services de messagerie accessibles par le web permettent de voir la pièce jointe en aperçu, dans la page, sans la télécharger sur l’appareil.

• Risque réduit : exécution de contenus actifs sur votre ordinateur ou votre téléphone.
• Apports : le document est affiché après conversion, donc les macros ne se lancent pas et le fichier n’arrive pas sur l’appareil ; c’est la façon la plus simple de regarder un fichier dont vous n’êtes pas sûr.
• Limites : tous les formats n’ont pas d’aperçu ; liens et codes QR restent visibles et peuvent mener à des pages contrefaites ; si vous téléchargez le fichier, vous dépendez de nouveau des autres défenses.
• Exemple d’usage : vous regardez en aperçu un PDF inattendu, vous constatez qu’il s’agit d’une relance générique assortie d’un lien, et vous le supprimez sans l’avoir téléchargé.
• Complexité : faible.

2. Technologies de détection

Protection intégrée au système

Le programme de protection que les systèmes d’exploitation actuels incluent déjà : il vérifie les fichiers quand ils sont téléchargés, ouverts ou lancés.

• Risque réduit : fichiers nuisibles passés à travers les filtres de la messagerie.
• Apports : elle est gratuite et active par défaut ; au-delà des signatures, elle observe les comportements suspects, comme un programme qui modifie beaucoup de fichiers en quelques secondes ; elle se met à jour toute seule.
• Limites : elle reconnaît mieux ce qui est déjà connu ; elle ne fonctionne que si elle reste active et à jour ; il faut la distinguer des fausses alertes décrites dans la fiche consacrée à l’antivirus : les vrais avertissements viennent du système, pas d’une page web qui demande d’appeler un numéro.
• Exemple d’usage : vous téléchargez une pièce jointe et le système, avant même que vous ne l’ouvriez, la signale et l’isole.
• Complexité : faible.

Extensions de fichiers visibles

L’extension est la fin du nom d’un fichier, après le point, qui indique de quel type de fichier il s’agit. Beaucoup de systèmes la masquent par défaut ; on la rend visible depuis les options d’affichage des fichiers.

• Risque réduit : fichiers déguisés, comme un programme appelé « facture.pdf.exe » qui, l’extension étant masquée, apparaît comme « facture.pdf ».
• Apports : cela s’active une seule fois, en quelques secondes ; cela rend évident un déguisement que vous ne verriez pas autrement.
• Limites : l’icône peut malgré tout tromper ; il faut savoir quelles extensions correspondent à des programmes ; sur le téléphone, les noms complets se voient moins bien.
• Exemple d’usage : dans un dossier de téléchargements, vous repérez un « curriculum.docx.js » : le nom complet vous dit que ce n’est pas un document.
• Complexité : faible.

Avertissements du service de messagerie

Les bandeaux que le service de messagerie affiche au-dessus du message : « expéditeur externe », « cette pièce jointe n’a pas été analysée », « message semblable à ceux signalés comme hameçonnage ».

• Risque réduit : confiance automatique envers des messages qui imitent un contact connu.
• Apports : ils apparaissent au moment de la décision ; ils signalent aussi les fichiers que le filtre n’a pas pu ouvrir.
• Limites : l’absence d’avertissement ne signifie pas que la pièce jointe est sûre ; comme pour les e-mails qui se font passer pour la banque, la mise en page et les logos ne prouvent rien.
• Complexité : faible.

3. Technologies de réponse

Quarantaine et analyse complète

La quarantaine est une zone isolée dans laquelle la protection du système déplace un fichier suspect : il n’est pas supprimé tout de suite, mais il ne peut plus agir. L’analyse complète vérifie tout l’appareil, et pas seulement le fichier qui vient d’être ouvert.

• Risque réduit : programme nuisible qui reste actif ou qui s’est copié ailleurs.
• Apports : la quarantaine se déclenche d’elle-même ; l’analyse complète se lance en quelques clics.
• Limites : une analyse sans résultat réduit le doute sans le supprimer ; elle demande du temps et ralentit l’appareil.
• Complexité : faible.

Signalement du message

Le bouton « signaler comme hameçonnage » ou « signaler comme courrier indésirable » du service de messagerie.

• Risque réduit : la diffusion de la même pièce jointe à d’autres personnes.
• Apports : il retire le message de votre boîte et aide le filtre à reconnaître les messages semblables, y compris dans les boîtes des autres.
• Limites : il n’annule pas ce qui s’est déjà produit si le fichier a été ouvert ; si l’expéditeur est un contact réel dont le compte a été piraté, mieux vaut le prévenir aussi par un autre canal, comme l’explique la recommandation consacrée aux messages envoyés en votre nom.
• Complexité : faible.

Restauration des fichiers

Les sauvegardes et les « versions précédentes » des fichiers que beaucoup de services en ligne et de systèmes d’exploitation conservent automatiquement.

• Risque réduit : perte définitive de documents et de photos après une infection, par exemple par un rançongiciel (ransomware), un programme qui rend les fichiers illisibles et réclame une rançon.
• Apports : cela transforme l’incident en un problème de temps, non de perte.
• Limites : il faut le préparer à l’avance ; une copie branchée en permanence sur l’appareil peut être touchée en même temps que les originaux. Le sujet a sa propre recommandation : sauvegarde régulière des photos et des vidéos.
• Complexité : faible pour les versions automatiques, intermédiaire pour un plan de sauvegarde complet.

4. Technologies de gouvernance

Elles comptent quand les appareils ne sont pas seulement les vôtres : famille, cabinet, association, petit bureau.

Mises à jour automatiques

Certains documents nuisibles exploitent une faille du programme qui les ouvre ; les mises à jour referment ces failles.

• Risque réduit : fichiers conçus pour exploiter des vulnérabilités déjà connues et déjà corrigées.
• Apports : elles rendent inoffensives beaucoup de pièces jointes nuisibles en circulation ; elles actualisent aussi les signatures de la protection intégrée.
• Limites : elles ne couvrent pas les failles encore inconnues ; un appareil négligé longtemps reste en retard. Le principe est celui de la recommandation qui invite à garder ses logiciels à jour.
• Complexité : faible.

Règles partagées sur l’échange de fichiers

Des accords simples sur la façon dont les documents circulent : un dossier partagé plutôt que des pièces jointes, aucune archive protégée acceptée par courriel, un appel de vérification pour les demandes inhabituelles.

• Risque réduit : pièces jointes inattendues acceptées parce qu’elles « ont l’air professionnelles ».
• Apports : ce qui sort de la règle devient facile à remarquer ; personne n’a à décider seul.
• Limites : une règle que personne ne retient ne protège pas ; des règles trop rigides poussent à les contourner.
• Complexité : intermédiaire.

Formation et sensibilisation

Des parcours qui expliquent le pourquoi, et pas seulement le comment.

• Risque réduit : le dernier clic, celui qu’aucun filtre ne peut empêcher.
• Apports : cela rend le comportement stable dans la durée ; c’est le pilier sur lequel repose le Framework Cyber Welfare.
• Limites : cela demande de la continuité ; une intervention isolée a un effet bref.
• Complexité : faible.

Tableau comparatif

Comment choisir

Si cela ne concerne que vous. Presque tout est déjà actif : votre tâche consiste à ne pas l’éteindre. Rendez les extensions visibles, laissez les macros bloquées, utilisez l’aperçu pour les fichiers que vous n’attendiez pas, gardez système et programmes à jour.

Si vous exercez une activité professionnelle. Ajoutez les versions précédentes des fichiers dans l’espace en ligne que vous utilisez pour le travail, un compte sans privilèges d’administrateur (qui ne peut pas installer de programmes) pour l’usage quotidien, et l’habitude de rester en affichage protégé quand vous n’avez pas à modifier le document. Pour les documents des fournisseurs, une vérification sur le canal que vous connaissez déjà vaut mieux que n’importe quel filtre.

Si vous gérez un groupe ou un petit bureau. Vérifiez que le service de messagerie analyse les pièces jointes, si possible aussi en bac à sable ; définissez comment les fichiers circulent ; maintenez les macros bloquées et les mises à jour automatiques sur tous les appareils ; ajoutez une formation brève et récurrente.

Une règle pratique. Aucun filtre n’est infaillible. La combinaison qui offre le meilleur rapport entre l’effort et le résultat est protections laissées actives + extensions visibles + aperçu avant téléchargement. Mais si une pièce jointe inattendue franchit toutes les couches, la dernière défense reste la question : « qui me l’envoie, et pourquoi ? »

Lien avec le Framework Cyber Welfare

Niveau de référence : FL3 — Autonome. C’est le niveau où l’on comprend un outil suffisamment pour le configurer sans aide et pour lire correctement les signaux qu’il donne.

Conclusion

L’analyse des pièces jointes est l’un des travaux les plus silencieux de la sécurité numérique : l’essentiel des fichiers nuisibles s’arrête avant de vous parvenir. Votre contribution est modeste mais décisive : laisser les défenses actives et ne pas les contourner quand un document vous le demande. Pour savoir par où commencer, l’auto-évaluation de la résilience numérique vous donne un repère.

Action conseillée. Aujourd’hui même, rendez les extensions de fichiers visibles sur l’ordinateur que vous utilisez le plus, et vérifiez que la protection intégrée au système est active et à jour.

Contenus liés

• Pièces jointes d’origine inconnue — la recommandation de référence
• Que faire après avoir ouvert une pièce jointe suspecte — comment utiliser ces technologies quand quelque chose est déjà arrivé
• Logiciels malveillants dans les pièces jointes — les techniques contre lesquelles ces protections sont conçues
• Signes d’une pièce jointe dangereuse — ce qu’il faut observer quand la technologie ne suffit pas

Pour approfondir un terme

Fiches courtes du glossaire Cyber Welfare, pour s’arrêter sur un seul terme :

• Menace informatique

Faites le premier pas : le Programme « Protégez votre Vie Privée Numérique » vous accompagne gratuitement, une recommandation à la fois.