Assurance cyber : votre volet courriel tient-il la route ?

Les questionnaires d'assurance cyber posent des questions précises sur vos courriels. Entrez votre domaine : on vérifie ce que votre assureur peut vérifier lui-même, et vous repartez avec un rapport daté.

Vérifier mon domaine

Gratuit, sans inscription. Résultat en 15 secondes, avec tout le bilan (SPF, DKIM, DMARC, site web).

Ce que les assureurs demandent en 2026

Les questionnaires de souscription se sont allongés et le renouvellement ressemble de plus en plus à un audit. Sur la partie courriel et identité numérique, les assureurs cyber demandent généralement :

• L'authentification multifacteur (MFA) réellement imposée — pas « disponible », mais activée sur la messagerie, les accès à distance et les comptes administrateurs. C'est le point qui fait le plus souvent refuser une police.
• L'authentification du courriel — SPF, DKIM et DMARC, ce dernier avec une politique au moins en quarantine, idéalement en reject.
• Des sauvegardes hors site testées et une protection des postes de travail.
• Un plan de réponse aux incidents écrit.
• Des preuves, pas des déclarations : de la documentation qui montre que ces contrôles étaient actifs, et le restent.

Pourquoi le courriel pèse autant dans le dossier

Parce que c'est là que l'argent part. La fraude au virement (BEC) — un faux courriel du patron ou d'un fournisseur qui demande de changer un numéro de compte — est l'une des principales causes de réclamation en PME. Un domaine sans DMARC en mode blocage rend cette fraude triviale : n'importe qui peut écrire à votre comptable en votre nom. Pour un assureur, c'est un risque mesurable en 30 secondes, depuis l'extérieur, sans votre permission. Autant savoir ce qu'il voit.

Ce que ce test vérifie — et ce qu'il ne vérifie pas

Notre bilan gratuit couvre ce qui est publiquement vérifiable : SPF, DKIM, DMARC et son mode, HTTPS, certificat SSL et sa date d'expiration, en-têtes de sécurité, listes noires d'envoi, âge et protection du domaine. C'est exactement l'angle que prend un assureur ou un client d'affaires qui vous évalue de l'extérieur.

En revanche, nous ne pouvons pas voir vos éléments internes : si votre MFA est vraiment imposée à tout le monde, si vos sauvegardes sont testées, quel antivirus tourne sur vos postes. Ces réponses restent les vôtres — méfiez-vous de tout outil qui prétend « certifier » votre assurabilité à partir d'un scan externe.

Comment prouver vos contrôles sans y passer la semaine

Trois niveaux, tous utilisables le jour où on vous demande des preuves :

1. Le rapport daté (gratuit) — le bilan se télécharge en PDF avec la date : une photo de votre posture à un instant précis.
2. La surveillance continue (gratuite pour un domaine) — vérification quotidienne, historique et alerte si quelque chose se dégrade. C'est ce qui transforme « c'était bon en janvier » en « c'est bon en continu ».
3. Le dossier de conformité (Pro) — un document daté qui rassemble vos vérifications, votre historique de surveillance et vos incidents, prêt à joindre à un questionnaire d'assurance ou de fournisseur. Voir les tarifs.

À savoir : nous ne sommes ni courtier ni assureur, et chaque assureur a ses propres critères — ceci n'est pas un conseil en assurance. Le but est simple : que vous sachiez répondre, preuves en main, aux questions techniques du questionnaire.

Questions fréquentes

Un assureur peut-il vraiment vérifier mes courriels tout seul ?

Oui, et sans vous demander la permission : SPF, DKIM, DMARC, votre certificat et vos en-têtes de sécurité sont des informations publiques. C'est aussi pour ça que plusieurs assureurs et courtiers font une vérification externe avant de coter un risque.

Quelle politique DMARC les assureurs attendent-ils ?

En général au moins quarantine, et de plus en plus reject. Un DMARC en p=none coche la case « on a un enregistrement » mais ne bloque rien — c'est le genre de nuance qui se remarque à la lecture d'un questionnaire.

Est-ce que Cyberbilan garantit que je serai assuré ou indemnisé ?

Non, et personne ne peut le garantir. Nous vérifions et documentons le volet technique publiquement vérifiable de votre sécurité courriel et web. Les décisions de souscription et d'indemnisation appartiennent à votre assureur.

J'ai déjà une police. Est-ce utile quand même ?

Souvent plus qu'avant la souscription : le renouvellement est le moment où les questions se durcissent, et une dégradation silencieuse (DMARC retiré lors d'un changement de fournisseur, certificat expiré) est exactement ce que la surveillance continue attrape.

Le test est-il gratuit ?

Oui, sans inscription et sans carte. Nous lisons uniquement des informations publiques (DNS, en-têtes du site). Le rapport daté se télécharge en PDF.