Question 1

Quelles vérifications d'authentification sont effectuées ?

Accepted Answer

L'outil lit les résultats SPF, DKIM et DMARC inscrits par le serveur de réception dans l'en-tête Authentication-Results, et les signale comme réussis ou en échec. Il ne revérifie pas lui-même les signatures DKIM. Un échec ou une absence de ces résultats augmente le score de suspicion.

Question 2

Comment le score de suspicion est-il calculé ?

Accepted Answer

Il cumule plusieurs signaux : échec ou absence de SPF, DKIM et DMARC, domaine From différent du Return-Path, Reply-To vers un autre domaine, nom d'affichage contenant une adresse étrangère, termes d'urgence dans le sujet… Chaque indicateur retenu est listé avec son explication.

Question 3

Comment exploiter les IOC extraits ?

Accepted Answer

L'onglet Observables regroupe URL, domaines, IP, e-mails et empreintes avec leur contexte (From, Reply-To, IP d'origine, lien, pièce jointe). Chaque valeur se copie ou s'ouvre dans VirusTotal, URLScan, AbuseIPDB, Shodan, crt.sh ou MalwareBazaar. Le mode défangé (hxxps[://]exemple[.]com) évite les clics accidentels ; la liste complète s'exporte en CSV et le rapport Markdown se colle directement dans un ticket.

Question 4

Comment voir tous les liens d'un e-mail ?

Accepted Answer

L'onglet Liens liste chaque URL trouvée dans le HTML (liens, images, formulaires), le texte et les en-têtes. Pour chacune : le texte affiché, la vraie destination, la destination cachée dans une redirection et les marqueurs de risque (texte trompeur, punycode, IP brute, raccourcisseur, pixel de suivi). Aucun lien n'est ouvert : dans l'aperçu, ils sont désactivés et leur destination s'affiche au survol.

Question 5

Mon fichier .eml est-il envoyé sur vos serveurs ?

Accepted Answer

Non. Le fichier est lu et analysé dans votre navigateur ; il n'est jamais transmis à nos serveurs. Seuls les liens de pivot que vous choisissez d'ouvrir contactent un service tiers.

Question 6

Peut-on automatiser l'analyse par API ?

Accepted Answer

Oui. L'API ForenShield expose le même moteur : envoyez le fichier .eml à POST /v1/eml/analyze avec une clé API personnelle (créée depuis le portail) et recevez le verdict, les liens, les observables et le routage en JSON. Le fichier est analysé en mémoire et n'est pas conservé. Documentation : forenshield.com/developpeurs/api.

Analyseur d'E-mails (.eml)

Déposez un e-mail suspect, obtenez un rapport d’analyste.

Déposez un e-mail suspect, obtenez un rapport d’analyste.

Ce qui est analysé