Zimbra est le client de messagerie web déployé au CHU de Reims pour l’ensemble du personnel hospitalier. Accéder à cette messagerie depuis un poste situé hors du réseau interne de l’établissement suppose de respecter plusieurs exigences techniques et de sécurité, notamment depuis que la double authentification se généralise dans les structures de santé publiques françaises.
Vulnérabilités Zimbra récentes et conséquences pour un accès distant
Avant même de parler de configuration, un point mérite l’attention de tout agent qui se connecte depuis chez lui : la surface d’attaque de Zimbra a été activement exploitée ces derniers mois. Des correctifs ont été publiés en novembre 2025 pour les versions 10.1.13 et 10.0.18, puis une mise à jour vers la version 10.1.20 ou supérieure a été recommandée pour corriger une vulnérabilité d’exécution de code à distance liée au paquet zimbra-snmp.
La NSA a également signalé une campagne de phishing soutenue par un acteur étatique, ciblant spécifiquement les utilisateurs de Zimbra depuis juillet 2025. Pour un agent du CHU, cela signifie que chaque connexion externe non sécurisée représente un risque réel, pas théorique.
Ces alertes expliquent pourquoi les établissements hospitaliers durcissent leurs conditions d’accès distant. Un guide détaillant l’accès à Zimbra du CHU de Reims depuis l’extérieur permet de vérifier que la procédure suivie reste conforme aux recommandations actuelles.
Double authentification pour la messagerie hospitalière : ce qui change
Plusieurs établissements publics français, parmi lesquels l’AP-HP et les HCL, ont rendu obligatoire un second facteur d’authentification pour tout accès à la messagerie depuis l’extérieur du réseau. Cette tendance, confirmée entre 2025 et 2026, dépasse le simple couple identifiant/mot de passe encore décrit dans la majorité des tutoriels disponibles en ligne.
Le principe repose sur un code temporaire (OTP) généré par une application d’authentification installée sur le smartphone de l’agent. Après avoir saisi son identifiant et son mot de passe sur la page de connexion Zimbra, l’utilisateur doit entrer ce code à usage unique avant d’accéder à sa boîte de réception.
La CNIL est explicitement citée comme référence réglementaire pour justifier cette double authentification en contexte de télétravail hospitalier. Un agent qui tenterait de contourner ce mécanisme (en utilisant un ancien lien de connexion direct, par exemple) se heurterait à un blocage systématique.
Préparer son smartphone pour le second facteur
L’application d’authentification doit être installée et configurée avant la première tentative de connexion distante. Attendre d’être chez soi un dimanche soir pour découvrir cette étape garantit une frustration inutile.
- Installer une application compatible (le service informatique du CHU précise laquelle) sur un téléphone personnel ou professionnel
- Scanner le QR code fourni lors de l’enrôlement, généralement réalisé sur site dans le service informatique
- Vérifier que l’horloge du téléphone est synchronisée automatiquement, car un décalage de quelques minutes invalide les codes OTP
- Conserver les codes de secours remis lors de l’activation, dans un endroit distinct du téléphone lui-même
Configuration IMAP et ActiveSync sur un appareil personnel
Le webmail Zimbra accessible via navigateur couvre la majorité des usages. Pour ceux qui préfèrent un client de messagerie natif (Outlook, Thunderbird, l’application Mail d’iOS), deux protocoles entrent en jeu : IMAP et ActiveSync.
IMAP synchronise les mails entre le serveur et le client. ActiveSync va plus loin en synchronisant également le calendrier, les contacts et les tâches. Le choix dépend du besoin : un agent qui consulte uniquement ses mails peut se contenter d’IMAP. Celui qui gère son planning de garde depuis son téléphone a intérêt à configurer ActiveSync.
Paramètres serveur à renseigner
Les identifiants de connexion sont les mêmes que pour le webmail. Le serveur de courrier entrant correspond à l’adresse du serveur Zimbra du CHU (communiquée par la DSI). Le port IMAP sécurisé utilise le chiffrement SSL/TLS, et le serveur SMTP sortant suit la même logique de chiffrement.
Une erreur fréquente consiste à renseigner un serveur SMTP générique (celui de son fournisseur d’accès internet) au lieu du serveur SMTP du CHU. Le mail part alors sans signature institutionnelle, voire se retrouve bloqué par les filtres anti-spam du destinataire.
Sécuriser un poste personnel utilisé pour la messagerie du CHU de Reims
Se connecter depuis un ordinateur personnel n’est pas anodin quand les messages transitant contiennent des données de santé. Les recommandations nationales convergent vers un durcissement du poste de connexion, pas uniquement de la liaison réseau.
- Maintenir le système d’exploitation et le navigateur à jour, car les failles exploitées dans les campagnes de phishing ciblant Zimbra reposent souvent sur des navigateurs obsolètes
- Ne jamais enregistrer le mot de passe Zimbra dans le gestionnaire du navigateur sur un poste partagé
- Utiliser une session dédiée sur l’ordinateur familial, protégée par un mot de passe distinct, pour éviter qu’un autre utilisateur du foyer accède à la messagerie professionnelle
- Fermer la session Zimbra après chaque utilisation plutôt que de simplement fermer l’onglet, car le cookie de session peut rester actif
La page de connexion du CHU (mail.chu-reims.fr) affiche un message d’authentification requise lorsque la session a expiré. Ce comportement est normal et ne signifie pas que le compte est bloqué. Il suffit de se reconnecter en saisissant à nouveau ses identifiants et le code OTP.
Le choix entre la version Modern et la version Classic de l’interface Zimbra, proposé à la connexion, n’a pas d’impact sur la sécurité. La version Modern offre une interface adaptée aux écrans tactiles, tandis que la version Classic convient mieux aux utilisateurs habitués à un client lourd comme Outlook. Cette préférence se modifie dans les paramètres généraux de Zimbra, rubrique « Zimbra Version ».
Accéder à sa messagerie professionnelle hors les murs du CHU repose finalement sur trois piliers : une authentification renforcée correctement configurée en amont, des paramètres serveur conformes aux indications de la DSI, et un poste personnel maintenu dans un état de sécurité acceptable. Négliger l’un de ces éléments expose non seulement l’agent, mais aussi les données patients qui transitent dans ces échanges.