Zimbra 66 est le client de messagerie collaborative déployé par le conseil départemental des Pyrénées-Orientales (CD 66) pour l’ensemble de ses agents. Au-delà de l’envoi et de la réception de courriels, la plateforme centralise agendas partagés, carnets d’adresses et gestion de tâches. La question qui se pose pour chaque direction et chaque service : quels réglages et quelles pratiques permettent réellement de tirer parti de cet outil, et quels risques passent encore sous le radar ?
Sécurité de Zimbra 66 : failles documentées et correctifs à suivre
La majorité des guides consacrés à Zimbra dans les collectivités se concentrent sur la connexion et la personnalisation de l’interface. Le volet sécurité reste pourtant le point le plus critique pour une administration qui traite des données personnelles de milliers d’usagers.
Plusieurs vulnérabilités récentes ont touché le client web classique de Zimbra, la récupération de mot de passe, le protocole WebDAV et l’intégration OnlyOffice. Certaines de ces failles ont été inscrites au catalogue des vulnérabilités exploitées de la CISA (agence américaine de cybersécurité), ce qui signale une exploitation active par des attaquants.
Pour une DSI départementale, cela implique une procédure formalisée : suivi des avis publiés par l’éditeur Zimbra, tests sur un environnement de pré-production, puis application rapide des correctifs sur les serveurs de production. Un simple rappel aux agents de « choisir un mot de passe solide » ne couvre pas ce risque.
Les agents souhaitant mieux comprendre le périmètre fonctionnel de cette messagerie peuvent utiliser Zimbra 66 avec Le Off comme point de départ avant d’approfondir les aspects techniques décrits ici.
| Composant Zimbra | Type de vulnérabilité signalée | Mesure recommandée |
|---|---|---|
| Client web classique | Faille XSS | Mise à jour du client, filtrage des entrées |
| Récupération de mot de passe | Contournement d’authentification | Vérification des flux de réinitialisation |
| WebDAV | Contournement MFA | Désactivation du protocole si non utilisé |
| Intégration OnlyOffice | Exécution de code à distance | Correctif éditeur prioritaire |
| Pièces jointes ICS (agendas) | XSS stockée via invitation | Filtrage des pièces jointes de calendrier |
Authentification multifacteur : pourquoi le webmail ne suffit pas
Activer l’authentification multifacteur (MFA) sur l’interface web de Zimbra 66 est un premier pas. En revanche, le MFA doit couvrir tous les protocoles d’accès, pas uniquement le navigateur.
Les informations récentes signalent un contournement de MFA via WebDAV dans certaines versions affectées. Un agent qui synchronise sa messagerie sur un smartphone via ActiveSync ou qui utilise un client lourd (Thunderbird, Outlook) peut donc accéder à sa boîte sans passer par la double vérification, si ces protocoles ne sont pas couverts.
Protocoles à intégrer dans la politique MFA
- Accès webmail (interface navigateur) : couvert par défaut dans la plupart des configurations, mais à vérifier après chaque mise à jour
- Synchronisation mobile (ActiveSync, CalDAV, CardDAV) : souvent oublié, alors que les téléphones professionnels multiplient les points d’entrée
- Clients lourds IMAP/SMTP : si des agents utilisent Thunderbird ou un autre client, le flux IMAP doit être soumis aux mêmes exigences
- Interface d’administration Zimbra : un accès compromis à la console d’administration donne un contrôle total sur l’ensemble des boîtes
La recommandation la plus directe pour la DSI du CD 66 : désactiver les protocoles non utilisés dans la configuration serveur. Moins de portes ouvertes, moins de surface d’attaque.
Agendas partagés Zimbra 66 : surface d’attaque et bonnes pratiques
Les agendas partagés sont souvent présentés comme un simple outil de coordination entre services. Dans Zimbra, ils constituent aussi une surface d’attaque spécifique.
Une faille XSS stockée a été documentée : elle pouvait être déclenchée par une pièce jointe ICS spécialement conçue et envoyée sous forme d’invitation de calendrier. En ouvrant cette invitation, un agent exécutait involontairement du code malveillant dans son navigateur.
Deux mesures concrètes réduisent ce risque :
La DSI devrait configurer le serveur Zimbra pour filtrer ou mettre en quarantaine les pièces jointes de type ICS provenant de domaines externes. Les agents, de leur côté, gagnent à ne jamais accepter automatiquement une invitation de calendrier provenant d’un expéditeur inconnu. Le paramètre se trouve dans les préférences de l’agenda Zimbra, section « Réception des invitations ».
Zimbra 66 et conformité RGPD : obligations en cas d’incident
L’utilisation de Zimbra dans une administration départementale s’inscrit dans un cadre réglementaire strict. Toute fuite de données via la messagerie constitue un incident RGPD qui doit être notifié à la CNIL dans un délai contraint.
Les scénarios les plus fréquents ne sont pas des cyberattaques sophistiquées. Un courriel envoyé au mauvais destinataire, une boîte partagée dont les droits d’accès n’ont pas été révisés après un départ, ou un compte compromis par hameçonnage suffisent à déclencher l’obligation de notification.
Procédure à formaliser dans chaque direction
La cellule DPO du département doit disposer d’un circuit de signalement clair. L’agent qui constate l’envoi d’un courriel contenant des données personnelles à un destinataire erroné doit savoir qui prévenir, dans quel délai, et avec quelles informations. Ce circuit doit être testé au moins une fois par an, pas seulement documenté dans une charte informatique que personne ne relit.
Zimbra 66 offre des fonctions de journalisation (logs) qui permettent de reconstituer la chronologie d’un incident. Ces logs doivent être conservés et accessibles à la cellule DPO pour satisfaire aux exigences de traçabilité de la CNIL.
Le maillon le plus fragile dans l’optimisation de Zimbra 66 au sein du CD 66 n’est pas l’interface ou l’ergonomie. C’est l’écart entre les capacités techniques de la plateforme et les procédures réellement appliquées par les directions, que ce soit sur le suivi des correctifs de sécurité, le périmètre du MFA ou la gestion des incidents RGPD. Réduire cet écart demande moins de budget que de rigueur organisationnelle.
