Quand on ouvre le webmail Zimbra de Polytechnique en 2026, la première chose qui frappe, c’est que l’interface Classic Web Client affiche toujours le même visage qu’il y a trois ans. Les habitudes restent, les raccourcis aussi. Ce qui a changé se situe sous le capot, côté sécurité et restrictions d’usage, et ça modifie concrètement la façon dont on gère sa messagerie au quotidien sur le campus.
Failles de sécurité Zimbra 2026 : ce qui concerne directement les utilisateurs de Polytechnique
L’été 2026, Zimbra a publié la version ZCS 10.1.20, qui corrige plusieurs vulnérabilités touchant de plein fouet les environnements universitaires. Parmi elles : une injection de commandes via le service de monitoring SNMP, exploitable sans authentification quand ce service est activé sur le serveur.
A lire aussi : Les clés pour réussir la dématérialisation des documents en entreprise
Concrètement, ça signifie qu’un attaquant pouvait potentiellement exécuter des commandes système sur le serveur mail sans même disposer d’un compte. Pour un campus comme l’X, où des milliers de comptes coexistent avec des listes de diffusion massives, le risque d’exfiltration de données était réel.
Plusieurs failles XSS (cross-site scripting) ont aussi été corrigées, toutes localisées dans le Classic Web Client. Le Centre canadien pour la cybersécurité recommande explicitement de mettre à jour vers la version 10.1.19 au minimum, et d’éviter le Classic Web Client tant que le serveur n’est pas patché.
A découvrir également : Allostreaming : les avantages du streaming en ligne
- Injection de commandes SNMP : exécution de code à distance sans authentification, corrigée en 10.1.20
- XSS multiples dans le Classic Web Client : vol de session ou redirection malveillante possibles via un simple lien piégé dans un mail
- Failles dans les restrictions de transfert de mail et la délégation de boîte aux lettres : contournement des règles de sécurité internes
Si la DSI de Polytechnique n’a pas encore appliqué ces correctifs au moment où vous lisez ces lignes, utilisez un client mail externe comme Thunderbird ou l’application mobile Zimbra plutôt que le webmail Classic. C’est la recommandation directe de Zimbra et de plusieurs agences de cybersécurité.
Charte informatique Polytechnique et transfert de mails : la règle de fin 2024 toujours en vigueur
Depuis la révision de la charte informatique fin 2024, l’École interdit formellement de transférer les messages à destination de votre adresse polytechnique.edu vers une boîte aux lettres non professionnelle (Gmail, QQ Mail, etc.). Cette règle, décrite dans la section 4.7 de la charte, reste pleinement active en 2026.
On pourrait se dire que c’est une contrainte arbitraire. En réalité, elle répond à un problème technique documenté par la DSI : les transferts massifs vers Gmail, combinés aux listes de diffusion promotion et site, dégradaient la réputation du domaine polytechnique.edu auprès des principaux services de messagerie. Résultat : des mails légitimes envoyés depuis l’X finissaient en spam chez les destinataires externes.
Pour ceux qui avaient pris l’habitude de tout rediriger vers Gmail, il faut désormais configurer un client mail externe qui récupère les messages directement sur le serveur Zimbra, via IMAP ou via l’application mobile officielle.
Configurer IMAP sur Thunderbird ou un smartphone
Le serveur entrant reste webmail.polytechnique.fr en IMAP (port 993, SSL/TLS). Le serveur sortant utilise le même hôte en SMTP (port 587, STARTTLS). L’identifiant est votre login Polytechnique, pas l’adresse complète.
Sur smartphone, l’application Zimbra (disponible sur Android et iOS) offre une alternative au webmail. Les retours varient sur ce point : certains la trouvent fluide, d’autres signalent des notifications capricieuses selon les surcouches constructeurs. On recommande de tester les deux approches (appli native du téléphone en IMAP, ou appli Zimbra) pour voir ce qui tient le mieux sur votre appareil.
Zimbra Classic ou Modern Web Client : lequel choisir sur le campus
À la connexion sur webmail.polytechnique.fr, Zimbra propose trois modes : Modern, Classic, et Default (qui charge votre préférence enregistrée). Le choix n’est pas anodin en 2026.
Le Classic Web Client concentre la majorité des failles de sécurité corrigées récemment. Les XSS documentées dans les bulletins de cybersécurité ciblent spécifiquement cette version. Si vous l’utilisez par habitude pour ses fonctionnalités avancées de calendrier ou de gestion des filtres, sachez que le Modern Web Client a rattrapé une partie de ce retard fonctionnel.
Le Modern Web Client est responsive, ce qui le rend utilisable sur tablette sans passer par l’application mobile. Son interface est plus dépouillée, mais pour la gestion quotidienne (tri, réponse, recherche), il fait le travail sans exposer votre session aux mêmes risques.
Fonctionnalités avancées encore réservées au Classic
Le partage de calendrier avec gestion fine des droits et certaines options de filtres côté serveur restent plus accessibles depuis le Classic. Pour les power users qui gèrent des boîtes partagées de laboratoire ou des agendas de groupe, basculer intégralement sur Modern reste difficile.
Un compromis : utiliser Modern pour le mail courant et ne basculer en Classic que pour les tâches d’administration de calendrier partagé, sur un navigateur à jour, et uniquement si le serveur est patché en 10.1.20 ou supérieur.
Astuces Zimbra Polytechnique pour réduire le volume de sa boîte
L’adresse [email protected] n’est qu’un alias de redirection vers la boîte Zimbra. Elle ne stocke rien elle-même. Toute la volumétrie se concentre dans Zimbra, et la boîte et l’adresse sont supprimées quand vous quittez l’École.
Pour éviter de saturer l’espace disponible, quelques actions concrètes fonctionnent bien sur l’instance Zimbra de l’X :
- Créer des filtres côté serveur (pas côté client) pour trier automatiquement les messages des listes de diffusion dans des dossiers dédiés, puis purger ces dossiers périodiquement
- Vider le dossier « Éléments envoyés » des pièces jointes volumineuses, en particulier les PDF de cours ou de rapports partagés via les listes promotion
- Utiliser la recherche avancée Zimbra avec l’opérateur larger:5M pour identifier rapidement les messages les plus lourds
- Archiver localement via Thunderbird les messages importants avant de les supprimer du serveur, surtout en fin de scolarité
La recherche Zimbra accepte aussi des opérateurs comme « has:attachment » ou « in:sent after:01/01/2026 » pour cibler précisément ce qu’on veut nettoyer. Ces syntaxes fonctionnent sur les deux clients, Modern et Classic.
L’enjeu n’est pas seulement le confort : une boîte saturée peut bloquer la réception de messages, y compris ceux des listes de diffusion administratives. Mieux vaut anticiper le ménage que de découvrir le problème la veille d’une échéance.
