Sécuriser vos courriels professionnels : Microsoft 365 vs Google Workspace

Microsoft 365 ou Google Workspace : lequel protège le mieux vos courriels d'entreprise ? Les deux plateformes offrent une sécurité native solide, mais avec des philosophies différentes — Microsoft mise sur des contrôles granulaires (Conditional Access, Defender for Office 365, Purview), Google mise sur une sécurité intégrée simple à administrer et une infrastructure Gmail reconnue contre le phishing. Le vrai facteur de risque n'est presque jamais la plateforme elle-même, mais sa configuration : sans SPF, DKIM, DMARC et authentification multifacteur correctement activés, n'importe quel domaine de courriel professionnel reste vulnérable à l'usurpation, peu importe le fournisseur choisi.

Ce guide s'adresse aux propriétaires et gestionnaires de PME québécoises qui utilisent déjà Microsoft 365 ou Google Workspace — ou qui songent à migrer — et qui veulent comprendre concrètement ce que chaque plateforme protège par défaut, ce qui exige une configuration manuelle, et combien ça coûte réellement. Le courriel demeure le vecteur d'attaque numéro un contre les PME : fraude du président, rançongiciel livré par pièce jointe, vol d'identifiants par faux portail de connexion. Une mauvaise configuration de la sécurité courriel n'est pas seulement un risque technique, c'est aussi un enjeu direct de conformité à la Loi 25 au Québec. Nos techniciens certifiés appliquent cette même rigueur lorsqu'ils déploient Microsoft 365 ou renforcent la cybersécurité en entreprise pour des PME à Montréal et partout au Québec.

Pourquoi la sécurité courriel mérite une attention particulière en 2026

Depuis quelques années, les attaques par courriel ont considérablement gagné en sophistication. Les tentatives de phishing génériques et truffées de fautes, faciles à repérer, cèdent la place à des courriels ciblés, personnalisés à partir d'informations publiques (LinkedIn, sites d'entreprise, réseaux sociaux) et rédigés dans un français impeccable — parfois généré par intelligence artificielle. La fraude du président, où un attaquant se fait passer pour un dirigeant afin d'ordonner un virement urgent, continue de coûter cher aux PME québécoises chaque année, précisément parce qu'elle exploite la confiance implicite accordée à une adresse courriel qui semble légitime.

Cette évolution rend la configuration technique du courriel — et pas seulement la formation des employés — absolument critique. Un employé bien formé peut tout de même se laisser tromper par un courriel qui provient techniquement d'une adresse identique à celle de son patron, si le domaine n'est pas protégé contre l'usurpation. C'est précisément le rôle des protocoles SPF, DKIM et DMARC, que nous détaillons plus loin dans ce guide, et qui restent étonnamment absents ou mal configurés chez une proportion importante de PME, même celles qui utilisent Microsoft 365 ou Google Workspace depuis des années.

Les deux plateformes ont considérablement investi dans la sécurité native de leurs services de messagerie au cours des dernières années, avec des résultats globalement solides. Mais « sécurité native » ne signifie pas « sécurité automatique » — plusieurs des protections les plus importantes, notamment le MFA et les politiques DMARC strictes, exigent une activation et une configuration délibérées de la part de l'administrateur du domaine.

La sécurité native de Microsoft 365

Microsoft 365 structure sa sécurité courriel autour de plusieurs couches complémentaires, dont la profondeur varie considérablement selon le plan choisi. Comprendre ces couches aide à évaluer si le plan actuel de votre entreprise couvre réellement vos besoins.

Exchange Online Protection (EOP)

Exchange Online Protection est la couche de filtrage de base, incluse dans tous les plans Microsoft 365 sans exception, y compris le plan d'entrée de gamme Business Basic. EOP filtre les pourriels, bloque les logiciels malveillants connus via signatures, et applique des règles anti-usurpation de base. C'est une protection solide contre les menaces génériques et massives, mais elle n'inclut pas les mécanismes de détection avancée nécessaires contre les attaques ciblées et sophistiquées.

Microsoft Defender for Office 365

Defender for Office 365, disponible en Plan 1 (inclus dans Business Premium) et Plan 2 (généralement réservé aux plans Entreprise E5 ou en add-on), ajoute des couches de protection nettement plus avancées :

• Safe Links — chaque lien dans un courriel est vérifié au moment du clic, pas seulement à la réception, ce qui bloque les sites malveillants activés après la livraison initiale du courriel
• Safe Attachments — les pièces jointes sont détonées dans un environnement isolé (sandbox) avant d'être livrées à l'utilisateur, détectant les menaces inconnues des signatures classiques
• Protection anti-hameçonnage avancée — analyse comportementale et détection des tentatives d'usurpation d'identité de dirigeants ou de domaines similaires (typosquatting)
• Rapports et enquête automatisée — capacité de retracer et de retirer automatiquement un courriel malveillant déjà livré dans plusieurs boîtes de réception

Conditional Access et authentification multifacteur (MFA)

Conditional Access, disponible à partir du plan Business Premium (et via Microsoft Entra ID en add-on sur les plans inférieurs), permet de définir des règles d'accès contextuelles : exiger le MFA uniquement lors d'une connexion depuis un pays inhabituel, bloquer complètement l'accès depuis des appareils non gérés, ou forcer une réauthentification après une période d'inactivité. Le MFA de base (sans Conditional Access) reste disponible via la sécurité par défaut de Microsoft Entra sur tous les plans, mais sans la granularité contextuelle qu'offre Conditional Access.

Microsoft Purview : chiffrement et conformité

Microsoft Purview Message Encryption, inclus dans Business Premium et supérieur, permet de chiffrer automatiquement un courriel contenant des renseignements sensibles (numéro d'assurance sociale, numéro de carte de crédit) grâce à des règles de prévention de perte de données (DLP — Data Loss Prevention). Purview offre également des capacités d'archivage et de conservation légale (litigation hold) pertinentes pour la conformité réglementaire, incluant les obligations de la Loi 25 en matière de conservation et de traçabilité des renseignements personnels.

La sécurité native de Google Workspace

Google Workspace s'appuie sur l'infrastructure Gmail, l'un des services de messagerie les plus étudiés au monde en matière de filtrage anti-pourriel et anti-phishing, avec une réputation généralement excellente en matière de détection native — même sur les plans d'entrée de gamme.

Filtrage natif Gmail

Gmail applique un filtrage multicouche basé sur l'apprentissage automatique, entraîné sur un volume de données considérablement plus large que la plupart des concurrents, ce qui se traduit historiquement par un taux de détection de pourriels et de tentatives de phishing très élevé, même sans configuration additionnelle. Cette efficacité native de base est l'un des arguments les plus souvent avancés en faveur de Google Workspace pour une PME qui veut une sécurité solide sans investissement de configuration important.

Sécurité avancée et alertes de sécurité

Le centre d'administration Google Workspace offre un tableau de bord de sécurité centralisé signalant les activités suspectes : connexions depuis des emplacements inhabituels, tentatives de connexion échouées répétées, ou partage de documents potentiellement risqué. Les alertes de sécurité peuvent être configurées pour notifier automatiquement l'administrateur en cas d'activité anormale sur un compte, un mécanisme particulièrement utile pour détecter rapidement un compte compromis avant qu'il ne serve à lancer une attaque interne (par exemple, l'envoi de faux courriels de facturation à des collègues ou clients).

Contrôles administrateur et sécurité avancée (plans Business Plus et supérieurs)

À partir du plan Business Standard, et de façon plus complète en Business Plus, Google Workspace ajoute :

• Prévention de perte de données (DLP) — règles empêchant l'envoi de renseignements sensibles identifiés (numéros de carte de crédit, mots-clés définis) vers l'extérieur du domaine
• Vault — archivage, conservation légale et recherche dans l'historique complet des courriels, essentiel pour répondre à une demande d'accès ou une obligation de conservation réglementaire
• Sécurité renforcée du compte (Advanced Protection Program) — un niveau de protection supplémentaire recommandé pour les comptes à haut risque (dirigeants, comptables, administrateurs système), incluant l'obligation d'utiliser des clés de sécurité physiques
• Context-Aware Access — équivalent fonctionnel du Conditional Access de Microsoft, restreignant l'accès selon le contexte de connexion (appareil, emplacement, niveau de confiance)

Authentification multifacteur sur Google Workspace

Google propose plusieurs méthodes de MFA, incluant les codes par application d'authentification, les invites push sur téléphone mobile et les clés de sécurité physiques (les plus robustes contre le hameçonnage, car elles vérifient cryptographiquement le domaine du site avant de valider l'authentification). L'administrateur peut imposer le MFA à l'ensemble de l'organisation via une politique centrale, une fonctionnalité disponible même sur les plans d'entrée de gamme — contrairement à Microsoft, où le contrôle contextuel avancé du MFA (Conditional Access complet) reste réservé aux plans supérieurs.

Microsoft 365 vs Google Workspace : le comparatif sécurité détaillé

Voici un comparatif structuré des fonctionnalités de sécurité les plus pertinentes pour une PME, plan par plan, afin de faciliter une décision éclairée plutôt qu'un choix basé uniquement sur la familiarité avec l'une ou l'autre plateforme.

Ce tableau illustre un constat important : à budget comparable, les deux plateformes offrent un niveau de sécurité relativement similaire. La vraie différence pour une PME se situe rarement dans « quelle plateforme est objectivement supérieure », mais plutôt dans l'écosystème déjà en place (applications utilisées, habitudes des employés, intégrations existantes) et dans la rigueur avec laquelle la sécurité disponible est réellement configurée et maintenue.

SPF, DKIM, DMARC : pourquoi ces trois protocoles sont essentiels

Aucune fonctionnalité native de Microsoft 365 ou Google Workspace ne remplace la configuration correcte de ces trois protocoles au niveau du DNS du domaine de l'entreprise. Sans eux, un attaquant peut envoyer un courriel qui semble provenir directement de votre adresse d'entreprise — par exemple info@votreentreprise.ca — sans jamais avoir accès à vos systèmes. C'est précisément le mécanisme derrière la fraude du président et une grande partie du phishing ciblé contre les PME.

SPF (Sender Policy Framework)

SPF est un enregistrement DNS de type TXT qui liste explicitement tous les serveurs autorisés à envoyer des courriels au nom d'un domaine. Lorsqu'un serveur receveur reçoit un courriel prétendant venir de votre domaine, il vérifie si le serveur expéditeur figure bien dans la liste SPF publiée. Si ce n'est pas le cas, le courriel échoue la vérification SPF — un signal important, mais qui à lui seul ne bloque pas automatiquement la livraison.

Une erreur fréquente chez les PME : l'enregistrement SPF ne couvre que Microsoft 365 ou Google Workspace, en oubliant les services tiers qui envoient aussi des courriels au nom du domaine — plateforme de facturation, outil d'infolettre marketing, système de réservation en ligne. Chaque service additionnel doit être ajouté à l'enregistrement SPF, sans quoi ses propres courriels légitimes risquent d'être filtrés comme suspects.

DKIM (DomainKeys Identified Mail)

DKIM ajoute une signature cryptographique unique à chaque courriel sortant, générée à partir d'une clé privée détenue uniquement par le fournisseur de messagerie (Microsoft ou Google), et vérifiable par le destinataire à l'aide d'une clé publique publiée dans le DNS. Cette signature prouve deux choses : que le courriel provient bien du serveur autorisé, et qu'il n'a pas été modifié en transit après son envoi. Contrairement à SPF, qui vérifie la source, DKIM vérifie l'intégrité du contenu — les deux mécanismes sont complémentaires, pas redondants.

DMARC (Domain-based Message Authentication, Reporting and Conformance)

DMARC est le protocole qui relie SPF et DKIM en une politique cohérente. Il indique aux serveurs receveurs quoi faire d'un courriel qui échoue les vérifications SPF ou DKIM — ignorer l'échec (p=none), mettre le courriel en quarantaine/pourriel (p=quarantine), ou le rejeter complètement (p=reject). DMARC permet aussi de recevoir des rapports agrégés détaillant qui envoie des courriels au nom de votre domaine, y compris les tentatives d'usurpation — une visibilité précieuse qui n'existe pas sans DMARC configuré.

Comment configurer ces trois protocoles correctement

Trois cas vécus (anonymisés) de PME québécoises

Les scénarios suivants illustrent, de façon anonymisée mais réaliste, des situations rencontrées par des PME québécoises confrontées à des failles de sécurité courriel — et comment une configuration adéquate aurait changé l'issue.

Cabinet comptable de Sherbrooke — fraude du président évitée de justesse

Un cabinet comptable de Sherbrooke comptant 14 employés utilisait Microsoft 365 Business Standard depuis trois ans, sans DMARC configuré. Un attaquant a envoyé un courriel usurpant l'adresse exacte du directeur général à la contrôleuse, demandant un virement urgent de 18 400 $ vers un compte « fournisseur ». Le courriel avait passé les filtres de base, car SPF n'incluait qu'un « soft fail » plutôt qu'un rejet strict, et aucun DMARC n'existait pour renforcer cette politique. La contrôleuse, formée quelques mois plus tôt à vérifier tout virement urgent par un second canal, a appelé le directeur général directement — évitant la perte de justesse. Le cabinet a ensuite fait configurer DMARC en p=reject et activé le MFA sur l'ensemble des comptes, un mandat facturé 1 350 $ incluant l'analyse des rapports sur trois semaines.

Grossiste en matériaux de construction de Trois-Rivières — compte compromis et propagation interne

Un grossiste en matériaux de construction de Trois-Rivières, avec 32 employés sur Google Workspace Business Starter, a vu le compte de sa responsable des comptes clients compromis par un lien de faux portail de connexion cliqué sur un téléphone personnel. L'attaquant a utilisé le compte compromis, sans MFA activé, pour envoyer de faux courriels de changement de coordonnées bancaires à 22 clients actifs — trois d'entre eux ont effectué un paiement vers le nouveau compte frauduleux avant que l'anomalie ne soit détectée, pour une perte combinée d'environ 27 000 $ répartie entre les clients touchés. L'entreprise a depuis migré vers Google Workspace Business Standard, activé le MFA obligatoire pour tous les comptes et mis en place des alertes de connexion inhabituelle, pour un coût de mise en place d'environ 2 100 $.

Clinique dentaire de Gatineau — non-conformité découverte lors d'un audit assurance

Une clinique dentaire de Gatineau, avec 9 employés sur Microsoft 365 Business Basic, a vu sa demande de renouvellement d'assurance cyber-risque refusée après un questionnaire de souscription révélant l'absence de MFA obligatoire et de politique d'archivage documentée — deux exigences désormais standards pour ce type de couverture. La clinique traitait quotidiennement des renseignements de santé de patients, la rendant particulièrement exposée en cas de vérification par la Commission d'accès à l'information dans le cadre de la Loi 25. Après une mise à niveau vers Business Premium et une configuration complète (SPF/DKIM/DMARC, MFA, DLP pour les renseignements de santé, archivage Purview), pour un investissement d'environ 3 600 $ en configuration plus l'augmentation du coût mensuel des licences, la clinique a obtenu son renouvellement d'assurance avec une prime inchangée plutôt qu'une majoration.

Chiffrement des courriels : ce qui est inclus et ce qui exige une configuration

Le chiffrement des courriels se décline en deux niveaux distincts, souvent confondus par les PME lors du choix d'un plan.

Chiffrement en transit (TLS)

Le chiffrement TLS (Transport Layer Security) protège un courriel pendant son trajet entre les serveurs de messagerie, empêchant l'interception en clair sur le réseau. Ce chiffrement est actif par défaut sur Microsoft 365 et Google Workspace lorsque le serveur receveur le supporte également — ce qui est le cas de la grande majorité des fournisseurs modernes. C'est une protection de base, largement suffisante pour la correspondance courante, mais elle ne protège pas le contenu du courriel une fois arrivé sur le serveur du destinataire, ni contre un destinataire qui transfère le message par erreur.

Chiffrement conditionnel et gestion des droits

Pour les renseignements réellement sensibles — dossiers médicaux, renseignements financiers, contrats confidentiels — un chiffrement conditionnel s'impose. Microsoft Purview Message Encryption (Business Premium et supérieur) permet de définir des règles automatiques : tout courriel contenant un numéro d'assurance sociale ou certains mots-clés est automatiquement chiffré et peut même restreindre le transfert ou l'impression par le destinataire. Google Workspace offre un mode confidentiel similaire à partir de Business Standard, avec des options de restriction comparables, bien que la granularité des règles automatisées basées sur le contenu soit généralement plus limitée que chez Microsoft avant le plan Business Plus.

Protection contre le phishing et les logiciels malveillants : au-delà du filtrage de base

Le filtrage de base bloque la grande majorité des menaces génériques, mais les attaques ciblées contre les PME exigent des mécanismes plus sophistiqués. Voici les éléments à vérifier dans la configuration actuelle de votre organisation, peu importe la plateforme choisie.

Détection de l'usurpation d'affichage (display name spoofing)

Une technique très répandue consiste à modifier uniquement le nom affiché d'un courriel — par exemple « Jean Tremblay, Directeur » — tout en utilisant une adresse courriel complètement différente et non liée au domaine de l'entreprise. Ce type d'usurpation contourne SPF, DKIM et DMARC, puisque l'adresse technique n'est jamais falsifiée — seul le nom visible l'est. Microsoft 365 (via Defender for Office 365) et Google Workspace (via ses règles avancées) offrent tous deux des mécanismes de détection de cette technique, généralement à partir des plans intermédiaires, en signalant les courriels dont le nom affiché correspond à un dirigeant connu de l'organisation mais dont l'adresse réelle diverge.

Détection des domaines similaires (typosquatting)

Un attaquant enregistre parfois un domaine visuellement très proche du domaine légitime de l'entreprise — remplaçant par exemple un « m » par « rn », ou ajoutant un tiret — pour tromper un destinataire pressé. Une surveillance active des domaines similaires enregistrés, disponible via certains services de sécurité avancée ou via une supervision manuelle périodique, complète utilement les protections natives des deux plateformes contre ce type de leurre.

Formation continue des employés

Aucune protection technique, aussi avancée soit-elle, ne remplace un employé capable de reconnaître les signaux d'alerte d'une tentative de phishing — urgence artificielle, demande de contournement des procédures habituelles, fautes subtiles dans l'adresse de l'expéditeur. Notre guide de formation cybersécurité pour employés détaille un programme structuré, et notre article sur les exemples de courriels de phishing présente des scénarios concrets rencontrés par des PME québécoises.

Archivage, conservation et conformité Loi 25

Au Québec, la Loi 25 (modernisant la Loi sur la protection des renseignements personnels dans le secteur privé) impose aux entreprises des obligations de sécurité proportionnelles au risque, incluant la capacité de documenter les mesures prises et, en cas d'incident, de retracer précisément quels renseignements ont été touchés. Un système de courriel professionnel mal archivé complique considérablement cette capacité de traçabilité.

Ce qu'exige une politique d'archivage conforme

• Rétention définie et documentée — une politique claire précisant combien de temps les courriels sont conservés et pourquoi, alignée sur les besoins d'affaires réels plutôt qu'une conservation indéfinie par défaut
• Capacité de recherche et d'extraction — en cas de demande d'accès d'un client ou d'enquête de la Commission d'accès à l'information (CAI), l'entreprise doit pouvoir retrouver rapidement les communications pertinentes
• Journalisation des accès — traçabilité de qui a consulté ou exporté des données archivées, particulièrement pour les renseignements personnels sensibles
• Suppression sécurisée en fin de rétention — les courriels dont la période de conservation légitime est écoulée devraient être supprimés de façon vérifiable plutôt que conservés indéfiniment, ce qui augmente inutilement la surface de risque en cas de brèche

Microsoft Purview (Business Premium et supérieur) et Google Vault (Business Plus) répondent tous deux à ces exigences de façon native, avec des capacités de conservation légale (litigation hold), de recherche avancée et d'export structuré. Sur les plans inférieurs qui n'incluent pas ces outils, une politique d'archivage manuelle documentée reste possible, mais demande une discipline organisationnelle plus soutenue et présente un risque plus élevé d'inconsistance.

Budget et prix au Québec : combien prévoir réellement

Le coût réel d'une sécurité courriel adéquate combine deux éléments distincts : le coût récurrent des licences (mensuel, par utilisateur) et le coût ponctuel de configuration professionnelle. Voici des fourchettes réalistes pour une PME québécoise, en dollars canadiens.

Les prix affichés sont des ordres de grandeur en dollars canadiens et fluctuent selon le taux de change (facturation souvent en USD), les promotions en cours, l'engagement annuel versus mensuel, et le nombre total de licences (des rabais de volume s'appliquent généralement au-delà de 25-50 utilisateurs). Toujours confirmer le tarif exact au moment de la soumission plutôt que de se fier uniquement à des chiffres publiés.

Coûts de migration et de configuration professionnelle

Type d'intervention	Fourchette de prix typique (CAD)
Configuration SPF/DKIM/DMARC seule (domaine existant)	500 $ à 1 200 $
Configuration sécurité complète (MFA, Conditional Access, DLP)	1 200 $ à 3 500 $
Migration complète vers Microsoft 365 ou Google Workspace (10-50 utilisateurs)	2 500 $ à 8 000 $
Formation des employés incluse (phishing et bonnes pratiques)	500 $ à 1 500 $ selon le nombre de participants

Ces montants demeurent des ordres de grandeur généraux — la complexité de l'environnement existant (nombre de domaines, règles de messagerie historiques, volume de données à migrer, intégrations tierces) fait varier significativement le prix final. Une soumission détaillée après évaluation de l'environnement reste toujours la façon la plus fiable de budgéter précisément.

Erreurs fréquentes à éviter après la mise en place

Configurer une fois et ne jamais revoir

La sécurité courriel n'est pas un projet ponctuel mais un processus continu. Les rapports DMARC doivent être consultés périodiquement, les nouveaux services tiers ajoutés à l'entreprise doivent être intégrés à l'enregistrement SPF, et les politiques d'accès conditionnel doivent évoluer avec l'organisation (nouveaux employés, départs, changements de rôles).

Imposer le MFA seulement aux employés, pas aux administrateurs

Une erreur de configuration étonnamment fréquente consiste à exempter les comptes administrateurs du MFA « pour simplifier la gestion technique » — alors que ce sont précisément les comptes les plus critiques à protéger, puisqu'un compte administrateur compromis donne accès à l'ensemble de l'environnement, pas seulement à une boîte de courriel individuelle.

Négliger les appareils mobiles personnels

Beaucoup de PME sécurisent rigoureusement les postes de travail au bureau tout en laissant les employés accéder au courriel professionnel depuis des téléphones personnels sans gestion ni politique de sécurité minimale (verrouillage par code, chiffrement de l'appareil). Une politique de gestion des appareils mobiles (MDM/MAM), disponible sur les plans intermédiaires et supérieurs des deux plateformes, comble cette lacune souvent ignorée.

Questions fréquentes — Sécurité courriel Microsoft 365 vs Google Workspace