Outlook renforce la sécurité des pièces jointes : deux nouveaux formats bloqués dès novembre

Microsoft va renforcer les restrictions appliquées aux pièces jointes dans Outlook. À partir de novembre 2026, deux extensions supplémentaires, .msix et .msixbundle, seront ajoutées à la liste des fichiers bloqués par défaut. La plupart des utilisateurs ne devraient pas remarquer de différence au quotidien, mais ce changement pourrait avoir des conséquences pour les entreprises qui distribuent des applications Windows par e-mail.

Quels fichiers seront concernés ?

La nouvelle mesure concerne Outlook sur le Web et le nouvel Outlook pour Windows, dans les environnements utilisant Exchange Online. Le déploiement doit commencer au début du mois de novembre et devrait se terminer vers la mi-novembre 2026. Les deux extensions seront intégrées à la liste standard des types de fichiers bloqués. La restriction s'appliquera également aux stratégies de boîte aux lettres personnalisées existantes dans Outlook sur le Web. Concrètement, les utilisateurs concernés ne pourront plus ouvrir ou télécharger normalement ces pièces jointes depuis les versions d'Outlook visées. Microsoft cherche ainsi à limiter les risques liés à la diffusion de fichiers d'installation potentiellement dangereux par courrier électronique.

À quoi servent les formats MSIX et MSIXBUNDLE ?

Le format MSIX a été développé par Microsoft pour faciliter l'installation et la distribution des applications Windows. Il permet de regrouper les fichiers et les informations nécessaires à l'installation d'un logiciel dans un package. MSIXBUNDLE repose sur le même principe, mais permet de réunir plusieurs packages MSIX au sein d'un même ensemble. Cette approche est notamment utile lorsqu'une application doit être distribuée pour différentes architectures matérielles. Ces formats ne sont donc pas dangereux par nature. Ils sont également utilisés pour distribuer des logiciels légitimes. Cependant, comme d'autres fichiers d'installation, ils peuvent être détournés pour diffuser des programmes malveillants ou inciter les destinataires à installer des applications indésirables.

Pourquoi Microsoft bloque-t-il davantage de pièces jointes ?

Les pièces jointes restent un vecteur courant de diffusion des logiciels malveillants. Les cybercriminels peuvent envoyer un fichier en se faisant passer pour un collègue, un fournisseur ou un service connu, dans l'espoir que le destinataire l'ouvre sans se méfier. Pour réduire ce risque, Microsoft applique déjà des restrictions à de nombreuses extensions considérées comme potentiellement dangereuses. La liste comprend notamment des fichiers exécutables, des scripts et différents fichiers système, comme .exe, .bat, .cmd, .ps1, .vbs, .js et .py. L'ajout de MSIX et MSIXBUNDLE étend donc les protections existantes à deux autres formats d'installation. L'objectif est de limiter les possibilités d'utiliser la messagerie comme moyen de diffusion de logiciels potentiellement dangereux.

La plupart des utilisateurs ne verront aucune différence

Pour les particuliers qui utilisent Outlook principalement pour échanger des messages, des documents, des photos ou des fichiers bureautiques classiques, cette évolution devrait passer largement inaperçue. La situation est différente pour les entreprises et les équipes informatiques qui distribuent régulièrement des applications au format MSIX ou MSIXBUNDLE. Si ces packages sont envoyés en pièces jointes, certains processus devront être adaptés avant l'entrée en vigueur de la restriction. Les administrateurs peuvent autoriser explicitement les extensions concernées dans les stratégies de boîte aux lettres Exchange Online. Les organisations qui ont réellement besoin de ces fichiers doivent donc vérifier leur configuration et, si nécessaire, ajuster leurs règles avant le déploiement. Pour les entreprises qui n'utilisent pas ces formats, aucune intervention particulière ne devrait être nécessaire.

Quelles alternatives pour partager les fichiers d'installation ?

Lorsqu'il est nécessaire de distribuer des packages d'installation, mieux vaut utiliser un canal adapté plutôt que de les joindre directement à un e-mail. Selon le contexte, plusieurs solutions sont possibles : un portail logiciel interne, une plateforme de distribution d'applications gérée par l'entreprise ou un espace de téléchargement sécurisé. Un service de stockage dans le cloud avec des droits d'accès contrôlés peut également convenir. Dans ce cas, le message contient un lien vers le fichier plutôt que le fichier lui-même. Il reste toutefois essentiel de vérifier que la source est fiable et que seuls les destinataires autorisés peuvent accéder au téléchargement.

Renommer simplement le fichier pour masquer son extension n'est pas une solution recommandée. Cette méthode ne supprime pas les risques de sécurité et peut compliquer le traitement du fichier chez le destinataire. De même, compresser un fichier ne garantit pas qu'il pourra être transmis : cela dépend des règles appliquées aux pièces jointes et aux archives.

Attention : toutes les versions d'Outlook ne sont pas concernées de la même manière

Il convient de bien délimiter la portée de cette annonce. Le changement concerne Outlook sur le Web et le nouvel Outlook pour Windows avec Exchange Online. Il ne signifie pas que toutes les éditions d'Outlook appliqueront nécessairement les mêmes restrictions à partir de novembre. Le comportement dépend notamment de la version utilisée et de la configuration Exchange de l'organisation. Les entreprises ont donc intérêt à vérifier les stratégies en vigueur dans leur environnement, surtout si leurs équipes échangent régulièrement des packages d'installation.

Un changement discret, mais utile pour la sécurité

Pour la majorité des utilisateurs, l'ajout de deux extensions à la liste des fichiers bloqués ne changera probablement rien à leurs habitudes. En revanche, les organisations qui utilisent MSIX et MSIXBUNDLE pour distribuer des logiciels doivent anticiper cette évolution. Le message de Microsoft est clair : les pièces jointes contenant des fichiers d'installation doivent être traitées avec davantage de prudence. Pour les échanges courants, l'impact devrait rester limité. Pour la distribution professionnelle de logiciels, il est préférable de prévoir dès maintenant une méthode de partage adaptée et sécurisée.

( via )