Autorisations demandées par Human Security

Stoïk Human Security protège vos équipes contre le phishing, la fraude et la compromission de comptes. Pour arrêter les vraies menaces et ne pas seulement les signaler, Stoïk a besoin d’un ensemble défini d’autorisations dans votre environnement Microsoft 365 ou Google Workspace.

Les listes d’autorisations peuvent sembler intimidantes, c’est pourquoi cette page explique chaque autorisation que nous demandons et précisément ce qu’elle fait.

Nos principes

• Moindre privilège : nous ne demandons que ce dont une fonctionnalité a besoin.

• Lié à une finalité : chaque autorisation correspond à une action précise, listée ci-dessous.

• Lire d’abord, agir de manière ciblée : la plupart des accès sont en lecture seule ; l’écriture est limitée aux actions de protection.

• Vos données restent les vôtres : jamais vendues, jamais utilisées au-delà du service que vous avez activé.

• Révocable à tout moment : retirez l’accès depuis votre console d’administration quand vous le souhaitez.

Comment l’accès est structuré

Human Security est construit à partir de trois blocs d’accès. Chaque fonctionnalité n’utilise que les blocs dont elle a besoin, vous n’accordez donc que ce que vous activez.

Les blocs de construction

1. Accès au répertoire de l’équipe Accès en lecture seule à votre liste d’employés et à vos groupes, afin que Stoïk sache qui protéger, simuler et former. Aucun accès aux boîtes mail.

2. Protection de la boîte mail Accès sécurisé à la boîte mail pour diffuser des simulations de phishing, examiner les e-mails signalés et agir sur les menaces confirmées.

3. Le bouton Signaler Un complément léger que les employés installent pour signaler les e-mails suspects en un clic. Aucun accès à la boîte mail.

Ce que chaque fonctionnalité պահանջe

Fonctionnalité	Accès au répertoire de l’équipe	Protection de la boîte mail	Le bouton Signaler
Simulation	✓	✓	✗
Formation	✓	✗	✗
Signalement	✓	✓	✓

Vous n’accordez que ce que vous utilisez. La formation a seulement besoin d’un accès en lecture seule au répertoire, et rien d’autre. Seul le signalement nécessite aussi le complément installé par les employés.

1. Accès au répertoire de l’équipe

Accès en lecture seule à votre liste d’employés et à vos groupes, afin que Stoïk sache qui protéger, simuler et former. Aucun accès aux boîtes mail.

Microsoft 365

Autorisation	À quoi elle sert
User.Read.All	Lire les utilisateurs pour créer et mettre à jour votre liste d’employés (noms, e-mails, numéros de téléphone).
Group.Read.All	Lire les groupes afin de cibler et organiser les employés par équipe.
UserAuthenticationMethod.Read.All	Lire les méthodes d’authentification (MFA) des employés.

Google Workspace

Autorisation	À quoi elle sert
admin.directory.user.readonly	Lire les utilisateurs du répertoire pour créer et mettre à jour votre liste d’employés.
admin.directory.group.readonly	Lire les groupes afin de cibler et organiser les employés par équipe.
userinfo.email	Identifier l’administrateur qui accorde l’accès.

2. Protection de la boîte mail

Accès sécurisé à la boîte mail pour diffuser des simulations de phishing, examiner les e-mails signalés et agir sur les menaces confirmées.

Ces autorisations alimentent trois capacités de Human Security : la diffusion de simulations de phishing, la lecture et l’analyse des e-mails signalés, et l’action sur les menaces confirmées. Vous les accordez lorsque vous connectez votre espace de travail pour la Simulation ou le Signalement.

Microsoft 365

Autorisation	À quoi elle sert
User.Read.All	Trouver les utilisateurs et faire correspondre les adresses e-mail aux boîtes mail.
Mail.ReadWrite	Diffuser des simulations de phishing (insérer, lire, nettoyer), lire les e-mails signalés et, bientôt, agir sur une menace confirmée : ajouter ou supprimer une bannière d’avertissement, ou déplacer l’e-mail vers et depuis un dossier de quarantaine.
SecurityAnalyzedMessage.Read.All	Récupérer les détails de détection d’un e-mail signalé afin que nous puissions dire à votre responsable informatique s’il s’agit d’une vraie menace (phishing ou fraude).
AuditLog.Read.All · AuditLogsQuery.Read.All · ActivityFeed.Read	Détecter une activité malveillante et confirmer si un e-mail signalé est une vraie menace ou a conduit à une compromission.
MailboxSettings.Read	Détecter des règles de boîte mail malveillantes, un signe courant qu’un e-mail a mené à une prise de contrôle du compte.
UserAuthenticationMethod.Read.All	Détecter toute modification des méthodes MFA d’un utilisateur et afficher l’état MFA.
Policy.Read.ConditionalAccess	Prendre en compte le niveau de protection du compte dans l’évaluation de la menace.
Application.Read.All	Détecter des applications tierces malveillantes connectées à un compte.
Reports.Read.All	Comprendre le volume et les schémas des e-mails, utilisé pour suggérer les meilleures cibles pour les simulations de fraude au paiement (les employés qui reçoivent le plus de factures constituent les cibles les plus réalistes).

Google Workspace

Autorisation	À quoi elle sert
gmail.insert	Insérer des e-mails de simulation de phishing dans les boîtes mail.
gmail.metadata	Lire les en-têtes et les ID des messages pour vérifier et suivre les simulations.
gmail.modify	Déplacer dans la corbeille les e-mails de vérification de la configuration de simulation et, bientôt, agir sur une menace confirmée (bannière d’avertissement, quarantaine).
gmail.readonly	Lire le contenu des e-mails signalés pour examen et analyser les vrais e-mails de facture ou de paiement que les employés reçoivent afin de créer des simulations de fraude au paiement réalistes et de choisir les meilleures cibles.
gmail.settings.basic	Configurer la liste d’autorisation afin que les simulations atteignent de manière fiable la boîte de réception.
admin.directory.user.readonly	Faire correspondre les destinataires aux utilisateurs du répertoire.
admin.reports.audit.readonly	Détecter une activité suspecte pour confirmer si un e-mail signalé est une vraie menace, et identifier qui reçoit le plus de factures pour le ciblage de la fraude au paiement.
apps.alerts	Afficher les alertes de sécurité Google Workspace associées lors de l’analyse d’une menace.
admin.directory.customer.readonly	Lire les détails de l’organisation nécessaires pour configurer la protection.
gmail.settings.sharing	Lire les délégués de la boîte mail, afin de repérer un accès accordé par un compte compromis.
admin.directory.device.mobile.readonly	Lire les appareils mobiles enregistrés sur un compte, afin de repérer l’appareil d’un attaquant.

Comment les e-mails signalés deviennent un verdict clair. Lorsqu’un employé signale un e-mail, Stoïk analyse le message ainsi que les signaux du compte et du tenant environnants pour décider s’il s’agit d’un vrai phishing ou d’une vraie fraude, afin que votre responsable informatique obtienne un vrai / faux positif verdict et puisse agir directement.

3. Le bouton Signaler

Un complément léger que les employés installent pour signaler les e-mails suspects en un clic. Aucun accès à la boîte mail.

C’est ce que vos employés installent dans leur boîte mail. Il est volontairement léger : il n’accorde à Stoïk aucun accès API à vos boîtes mail.

Complément Outlook

Autorisation	À quoi elle sert
ReadWriteMailbox	Accéder à l’e-mail signalé et, seulement si l’utilisateur le choisit, le déplacer dans les indésirables ou les éléments supprimés.
Report.Phishing	Se connecter à l’API de signalement de Stoïk pour envoyer le signalement.

Extension Gmail (Chrome / Edge)

Autorisation	À quoi elle sert
identity	Ouvre la connexion Google pour confirmer quel utilisateur signale.
storage	Met temporairement en cache le jeton de connexion et mémorise l’adresse e-mail du compte, afin d’éviter des invites de connexion répétées.
mail.google.com (accès au site)	Ajoute le bouton Signaler à Stoïk dans Gmail, identifie le message et le compte ouverts, et utilise les propres contrôles de Gmail pour l’action qui en résulte. Il s’agit d’un accès à la page du navigateur, pas d’une portée OAuth de l’API Gmail.
accounts.google.com (accès au site)	Prend en charge la connexion Google.
*.phishing.cyber.stoik.io (accès au site)	Envoie le signalement à l’API de Stoïk.
Portées de connexion : openid, email	Connecte l’utilisateur et l’identifie par e-mail.

L’extension Gmail ne demande aucune portée OAuth de boîte mail. La connexion est limitée à votre identité (openid + email). L’accès au site permet à l’extension d’agir sur la page Gmail que vous avez ouverte ; il ne s’agit pas d’un accès serveur permanent à votre boîte de réception.

Foire aux questions

Lisez-vous tous nos e-mails ? Non. Nous diffusons des e-mails de simulation et lisons les messages précis que vos employés signalent. Toute analyse continue sert uniquement à détecter des menaces, et seulement pour les capacités que vous activez.

Pouvons-nous n’accorder que certaines capacités ? Oui. Les autorisations sont regroupées par capacité. Si vous n’activez pas une capacité, vous n’accordez pas ses autorisations.

Pouvons-nous révoquer l’accès plus tard ? Oui, à tout moment, depuis votre console d’administration Microsoft 365 ou Google Workspace. Révoquer l’accès arrête la capacité correspondante.

Pourquoi certaines autorisations permettent-elles d’écrire, et pas seulement de lire ? Protéger votre équipe exige d’agir sur les menaces, pas seulement de les voir : diffuser une simulation, déplacer un e-mail signalé ou mettre en quarantaine une attaque confirmée. L’accès en écriture est limité à ces actions.