IMAP : Internet Message Access Protocol
Réseau
IMAP : Internet Message Access Protocol, protocole de consultation du courrier électronique qui laisse les messages sur le serveur et les synchronise entre plusieurs clients. « Le protocole qui garde le courrier sur le serveur, au cas où l'on voudrait le relire, ou le faire relire par un inconnu muni du mot de passe », par analogie avec la boîte postale du bureau de poste, consultable depuis n'importe quel guichet pourvu qu'on en ait la clé.
Fonctionnement : Le client se connecte au serveur, parcourt les dossiers, télécharge les messages ou seulement leurs en-têtes, et pose des marqueurs (lu, répondu, supprimé) partagés par tous les clients du même compte. L'extension IDLE permet au serveur de signaler les nouveaux messages sans attendre une relève.
Versions : Conçu par Mark Crispin en 1986, il est décrit par la RFC 3501 (IMAP4rev1, 2003), puis par la RFC 9051 (IMAP4rev2, 2021). Il ne sert qu'à lire : l'envoi passe par SMTP (Simple Mail Transfer Protocol).
Ports et chiffrement : Port 143, avec passage au chiffrement par STARTTLS, ou port 993 en TLS implicite. La RFC 8314 (2018) recommande ce dernier, STARTTLS ayant collectionné les défauts d'implémentation qui permettent de forcer le repli en clair ou d'injecter des commandes avant la négociation.
Authentification : Un serveur IMAP accepte souvent une authentification par simple mot de passe, sans second facteur, ce qui en fait une cible de choix pour la pulvérisation de mots de passe. Les grands fournisseurs de messagerie l'ont remplacée par OAuth 2.0 pour leurs propres comptes.
Ce qui arrive si on s'en passe
Sans IMAP ni équivalent comme une messagerie web, le courrier se relève par POP3 et vit sur un seul poste : la perte ou le vol de l'ordinateur emporte les messages, et la consultation depuis un téléphone devient un exercice de synchronisation manuelle. Un IMAP mal configuré pose un autre problème : laissé sur le port 143 sans chiffrement imposé, il transmet identifiants et messages en clair ; ouvert sur Internet avec une authentification par mot de passe seul, il contourne l'authentification multifacteur du portail web et donne accès à toute la boîte, archives comprises. Imposer TLS, désactiver l'authentification simple au profit d'OAuth ou de mots de passe d'application, et surveiller les connexions d'origine inattendue réduisent ce risque.
Explication de la marmotte
IMAP est la façon dont un logiciel de messagerie, sur ordinateur ou sur téléphone, va lire le courrier stocké chez le fournisseur. Les messages restent sur le serveur : c'est pour cela qu'un message lu sur le téléphone apparaît aussi comme lu sur l'ordinateur. Pour envoyer un message, un autre protocole est utilisé. La connexion doit être chiffrée, sinon le mot de passe et les messages circulent lisiblement sur le réseau.
Où ce terme est utilisé
- STARTTLS : attaque par retrait, MTA-STS et TLS implicite (8 occurrences)
- Services applicatifs, partage et protocoles hérités (4 occurrences)