La bascule de Webmel vers la messagerie nationale unifiée messagerie.education.gouv.fr a modifié en profondeur la chaîne de sécurité des échanges académiques à Nantes. Les anciens portails locaux (webmel ac-nantes, ia44, ia72) ne répondent plus, et avec eux disparaît une surface d’attaque historique exploitée par des campagnes de phishing ciblant les personnels de l’académie.
Authentification renforcée sur la messagerie académique Nantes : ce qui change côté serveur
La centralisation de la messagerie académique sur l’infrastructure du ministère impose une politique de mots de passe unifiée et une supervision nationale des incidents. Concrètement, la gestion du compte passe désormais par moncompte.ac-nantes.fr, seul point d’entrée légitime pour modifier son mot de passe ou activer la récupération.
Ce changement a une conséquence directe sur la sécurité des échanges avec les élèves et les parents : l’homogénéité de l’infrastructure réduit les failles liées aux configurations locales hétérogènes. Nous recommandons de vérifier, dès la première connexion au nouveau portail, que le mot de passe respecte les exigences minimales du ministère et n’est pas réutilisé sur un service personnel.
Le protocole IMAP reste disponible pour la synchronisation sur client lourd ou mobile. Les paramètres SMTP et IMAP sont désormais ceux du domaine national, ce qui invalide toute ancienne configuration pointant vers les serveurs ac-nantes historiques. Un client mal configuré ne renverra pas d’erreur explicite : il échouera silencieusement, laissant croire que le mail est parti alors qu’il ne l’est pas.
Risques de phishing liés aux anciens portails webmail Nantes
La désactivation de Webmel Nantes a supprimé les URL légitimes que les personnels connaissaient depuis des années. Des pages de phishing reproduisant l’ancien design du webmail ac-nantes circulent encore. Elles ciblent précisément les enseignants qui n’ont pas mis à jour leurs favoris.
Le réflexe de sécurité minimal consiste à ne jamais cliquer sur un lien de connexion reçu par mail. L’accès à la messagerie académique doit toujours se faire par saisie directe de l’URL dans le navigateur ou via un favori vérifié.
- Supprimer de ses favoris toute URL contenant « webmel », « ia44 » ou « ia72 » pointant vers un ancien portail local.
- Vérifier que l’URL de connexion commence bien par le domaine officiel du ministère, pas par un sous-domaine inconnu.
- Signaler immédiatement tout mail suspect à l’assistance académique via le canal dédié sur moncompte.ac-nantes.fr, même en cas de doute.
Un enseignant qui clique sur un faux portail et saisit ses identifiants offre un accès direct à sa boîte mail académique. L’attaquant peut alors envoyer des messages crédibles aux parents d’élèves depuis une adresse @ac-nantes.fr authentique, ce qui rend la détection très difficile côté destinataire.
Configurer IMAP et SMTP pour la messagerie académique sans exposer ses identifiants
Synchroniser sa boîte mail académique Nantes sur un smartphone ou une tablette personnelle introduit un risque que beaucoup sous-estiment. Le stockage des identifiants IMAP sur un appareil non géré par l’établissement échappe à toute politique de sécurité institutionnelle.
Paramétrage recommandé sur appareil personnel
Nous observons que la majorité des incidents de compromission sur l’académie de Nantes proviennent d’appareils personnels mal configurés. Le chiffrement TLS/SSL doit être activé sur les connexions IMAP entrantes et SMTP sortantes, sans exception. Un paramétrage en « aucun » ou « STARTTLS si disponible » laisse transiter les identifiants en clair sur les réseaux Wi-Fi publics.
Sur les clients iOS et Android, le certificat du serveur doit être accepté manuellement lors de la première connexion. Si le système ne demande pas cette validation, c’est que le chiffrement n’est pas actif.
Séparer les flux professionnels et personnels
Configurer la messagerie académique dans la même application que sa boîte personnelle facilite les erreurs d’expéditeur. Envoyer un message à un parent d’élève depuis son adresse Gmail personnelle pose un problème de droit : les échanges scolaires relèvent du cadre professionnel et du RGPD.
La solution la plus propre reste de dédier un profil ou une application distincte à la messagerie education.gouv.fr. Sur Android, la fonctionnalité « profil professionnel » isole les données académiques du reste de l’appareil.
Sécurité des échanges avec les élèves : messagerie académique ou ENT
La boîte mail académique n’est pas conçue pour les échanges directs avec les élèves. Elle sert à la communication entre personnels et, dans une certaine mesure, avec les familles. Pour les échanges pédagogiques avec les élèves, l’ENT e-lyco reste le canal sécurisé de référence dans l’académie de Nantes.
La distinction compte : un mail envoyé depuis la messagerie académique à un élève mineur transite par l’internet public. Un message envoyé via l’ENT reste dans l’écosystème authentifié de l’établissement, avec traçabilité et modération possible par l’administration.
Nous recommandons de réserver la messagerie académique aux échanges institutionnels avec les parents (convocations, bilans, informations administratives) et de basculer toute communication pédagogique vers les outils intégrés à l’ENT.
- Les pièces jointes contenant des données nominatives d’élèves (bulletins, PAP, PPS) doivent transiter par l’ENT ou par un service de partage sécurisé validé par le rectorat, pas en pièce jointe d’un mail académique.
- Les groupes de diffusion mail vers les parents doivent être créés via les outils de l’établissement (Pronote, e-lyco), jamais en copie carbone visible depuis la messagerie académique.
- Un parent qui répond à un mail académique en y joignant un document médical de son enfant place l’enseignant en responsabilité au titre du RGPD : ce document doit être supprimé de la boîte mail après traitement et transmis au canal adapté.
Mot de passe et récupération de compte académique Nantes
La perte d’accès à la messagerie académique est le premier motif de sollicitation du support informatique dans les établissements. Depuis la centralisation, la réinitialisation passe exclusivement par moncompte.ac-nantes.fr, qui exige un numéro de téléphone ou une adresse mail de secours préalablement enregistrés.
Ne pas avoir renseigné ces informations de récupération bloque toute réinitialisation autonome. L’enseignant doit alors contacter le guichet unique académique, avec un délai de traitement qui peut atteindre plusieurs jours en période de rentrée.
Le mot de passe de la messagerie académique donne aussi accès à d’autres services (Arena, Chorus, iProf). Un mot de passe compromis expose donc bien plus que la seule boîte mail. La règle de base reste un mot de passe unique, long, stocké dans un gestionnaire dédié, et jamais partagé par mail ou messagerie instantanée avec un collègue.
