Configurer les signalements, les trier et brancher des webhooks

Vos collaborateurs reçoivent des emails douteux : vrais hameçonnages, spam, ou simulations PhishTrainer. Le signalement leur permet de transmettre ces emails à votre équipe de sécurité, qui les retrouve dans PhishTrainer.

Une source décrit le chemin d’un email signalé jusqu’à PhishTrainer. Il en existe deux familles, présentées dans la fenêtre Ajouter une source de signalement :

• PhishTrainer relève une boîte email : vos collaborateurs transfèrent l’email suspect à une adresse dédiée (par exemple signalement@votre-domaine.ch), que PhishTrainer lit à intervalle régulier ;
• Un bouton « Signaler » dans la messagerie : un complément ajoute un bouton dans la messagerie ; l’email part directement vers PhishTrainer, sans boîte intermédiaire.

Vous pouvez configurer plusieurs sources et les combiner, par exemple une boîte de signalement et un complément Outlook. Chacune s’active indépendamment.

Créez d’abord une boîte dédiée aux signalements chez votre fournisseur de messagerie. Choisissez ensuite Boîte email (IMAP) et remplissez les champs. Les champs marqués d’un astérisque sont obligatoires.

Communiquez l’adresse de la boîte de signalement. Demandez de transférer l’email suspect en pièce jointe quand la messagerie le permet : PhishTrainer analyse alors l’email d’origine tel quel. Un transfert classique (dans le corps du message) est aussi accepté, mais l’expéditeur d’origine n’est retrouvé que s’il reste lisible dans le bloc de transfert.

PhishTrainer lit une boîte Exchange Online par Microsoft Graph, avec une application inscrite dans votre Microsoft Entra, sans mot de passe de boîte. L’application n’a accès qu’à cette boîte, en lecture. Associée au bouton « Signaler » intégré à Outlook, cette source reçoit les emails que vos collaborateurs signalent avec ce bouton.

Choisissez Boîte Microsoft 365. La fenêtre affiche à gauche la marche à suivre (Préparer Microsoft 365) et à droite les champs à remplir. Deux méthodes sont proposées : À la main (recommandé), où vous faites chaque réglage dans les portails Microsoft, ou Avec le script, un script PowerShell qui fait les réglages pour vous. La fenêtre détaille chaque étape ; voici leur enchaînement.

Les droits Exchange mettent de 30 minutes à 2 heures à s’appliquer : un test refusé juste après l’enregistrement est normal, réessayez plus tard. Le test ne lit aucun message ; il indique si la boîte est vide ou contient des messages à relever.

Les trois compléments (Outlook pour Windows (VSTO), Outlook Microsoft 365, Gmail (Google Workspace)) s’ajoutent de la même façon : choisissez le type, renseignez Nom de la source :, vérifiez que Réception activée est coché et enregistrez. La source affiche ensuite un code d’activation et des onglets Réglages, Installation, Message aux collaborateurs, ainsi que Appareils enrôlés (VSTO) ou Liaisons et utilisateurs (Microsoft 365, Gmail). L’option Supprimer l'email après le signalement place l’email signalé dans les éléments supprimés du collaborateur, d’où il reste récupérable.

Le déploiement de chaque complément a son guide :

Chaque source de la liste Mes sources de réception porte un badge Activée ou Désactivée. Les sources qui relèvent une boîte affichent Dernière relève : et la dernière erreur éventuelle ; les compléments affichent Dernier signalement reçu :. Actions disponibles :

Ouvrez Emails suspects dans le menu PhishTrainer, ou cliquez sur Voir les emails suspects depuis la page des sources. Un même email signalé par plusieurs collaborateurs n’apparaît qu’une fois : le classer le classe pour tous.

La carte Vue d'ensemble donne, pour la Période des statistiques choisie (7 jours à 12 mois) : le nombre d’Emails signalés, ceux À analyser, la part de Simulations PhishTrainer, la répartition par Résultat de l'analyse et par type signalé (Signalés comme), ainsi que les Domaines à analyser et les Domaines classés phishing ou spam. Un clic sur un domaine filtre la liste sur ses emails.

Les onglets filtrent par résultat : Tout, À analyser, Phishing, Spam, Bénins, Indéterminés, Simulations PhishTrainer. Filtres complémentaires : Domaine expéditeur, Signalé comme (hameçonnage ou spam, selon ce que le collaborateur a déclaré), Interactions déclarées et Période. Le tri Trier par propose Plus récents, À analyser depuis le plus longtemps et Plus signalés. Les emails à analyser sont surlignés.

Cliquez sur une ligne pour ouvrir Détail de l'email : expéditeur, sujet, dates du premier et du dernier signalement, type, résultat, Dernier classement (qui et quand), puis Collaborateurs qui l'ont reçu, Corps du message, Indicateurs (URL, domaines, expéditeur, adresses IP, empreintes de pièces jointes) et Pièces jointes (nom, type, taille, SHA-256). Le corps est affiché dans un cadre isolé ; les pièces jointes ne sont pas téléchargeables.

Chaque signalement a un statut : À analyser, En analyse ou Classé. Un email sans classement s’affiche À analyser.

Quand un collaborateur signale un email de simulation, PhishTrainer le reconnaît et le classe automatiquement (Dernier classement : Automatique). Le lien voir les résultats de la campagne ouvre la campagne concernée. La mention Simulation PhishTrainer non rattachée signale une simulation reconnue mais sans campagne retrouvée.

Avec certains compléments, le collaborateur indique ce qu’il a fait avec l’email : lien cliqué, pièce jointe ouverte, identifiants saisis, réponse ou appel. Le badge A interagi signale des identifiants saisis ou une pièce jointe ouverte ; Interaction déclarée signale un lien cliqué, une réponse ou un appel. Pour une relève de boîte, la question n’est pas posée (Non demandé). Le filtre Avec interaction à risque isole ces emails.

Un webhook est une adresse web (URL) de votre application à laquelle PhishTrainer envoie des données au fil de vos campagnes. Il sert à alimenter un SIEM, un outil de tickets ou un canal de discussion d’équipe, sans consultation manuelle de l’extranet.

Chaque envoi est une requête HTTP POST dont le corps est un document JSON. Votre application doit répondre par un code HTTP inférieur à 400 : un code 400 ou plus, ou une absence de réponse dans les 10 secondes, compte comme un échec. Les redirections ne sont pas suivies. En-têtes envoyés :

Si un secret est renseigné, PhishTrainer ajoute l’en-tête X-Gophish-Signature, de la forme sha256= suivi d’une signature hexadécimale. Cette signature est le HMAC-SHA256 du corps brut de la requête, calculé avec le secret comme clé. Pour vérifier un envoi, votre application recalcule ce HMAC sur le corps reçu, tel quel, avant tout décodage JSON, et le compare à la valeur de l’en-tête. Une requête sans en-tête ou avec une signature différente doit être rejetée.

La liste affiche le titre, l’URL et l’état de chaque webhook. Les boutons Modifier ce Webhook et Supprimer ce Webhook agissent sur la ligne. La suppression est irréversible. Pour suspendre un envoi sans perdre la configuration, désactivez Est actif ?.