POP3 : Post Office Protocol version 3
Réseau
POP3 : Post Office Protocol version 3, protocole de relève du courrier électronique qui télécharge les messages sur le poste et, en général, les supprime du serveur. « Le protocole qui vide la boîte aux lettres dans un seul tiroir, celui de l'ordinateur qui sera volé », par analogie avec le facteur qui remet tout le courrier en main propre et ne garde aucun double.
Fonctionnement : Le client s'authentifie, liste les messages, les télécharge (RETR) et les marque pour suppression (DELE), effective à la fin de la session. Pas de dossiers, pas de marqueurs partagés : le serveur n'est qu'une salle d'attente.
Norme et ports : Décrit par la RFC 1939 (1996), il écoute sur le port 110, avec passage au chiffrement par la commande STLS (RFC 2595), ou sur le port 995 en TLS implicite, préférable selon la RFC 8314 (2018).
Authentification : Les commandes USER et PASS transmettent le mot de passe tel quel ; APOP, censée l'éviter, repose sur MD5 et a montré ses faiblesses dès 2007. Sans TLS (Transport Layer Security), une simple capture réseau suffit à tout lire.
Usage actuel : Il subsiste pour des boîtes de relève automatique, des applications anciennes et des postes qui veulent une copie locale. Beaucoup de clients le configurent pour laisser une copie sur le serveur, ce qui ressemble beaucoup à IMAP, en moins bien.
Ce qui arrive si on s'en passe
Sans POP3, rien de grave dans la plupart des cas : IMAP ou la messagerie web le remplacent avantageusement. Le risque vient plutôt de son maintien : un service POP3 sur le port 110 sans TLS imposé transmet identifiant et mot de passe en clair, et reste souvent accessible en dehors de toute authentification multifacteur, ce qui offre aux attaquants une porte de service sur les boîtes. Les messages téléchargés puis supprimés du serveur ne vivent plus que sur un poste, sans sauvegarde ni archivage centralisé. Désactiver POP3 là où personne ne l'utilise et imposer le port 995 ailleurs règlent l'essentiel.
Explication de la marmotte
POP3 est une ancienne méthode pour lire son courrier électronique. Le logiciel de messagerie va chercher les nouveaux messages chez le fournisseur, les copie sur l'ordinateur et, souvent, les efface du serveur. Les messages ne sont donc plus que sur cet ordinateur : s'il tombe en panne, ils sont perdus, et ils n'apparaissent pas sur le téléphone. Aujourd'hui, on utilise plutôt IMAP, qui garde les messages sur le serveur.
Où ce terme est utilisé
- STARTTLS : attaque par retrait, MTA-STS et TLS implicite (6 occurrences)
- Services applicatifs, partage et protocoles hérités (3 occurrences)