Google Workspace DLP pour Gmail : protéger les données sensibles
Une erreur d’adresse, une pièce jointe confidentielle ou un numéro sensible envoyé au mauvais destinataire peut suffire à provoquer une fuite de données. Les règles DLP de Google Workspace permettent aux administrateurs de détecter certains contenus sensibles dans Gmail et de choisir quoi faire avant ou après l’envoi.
Sommaire
- Google Workspace DLP Gmail : qu’est-ce que la DLP ?
- Comment fonctionnent les règles DLP ?
- Blocage, avertissement et quarantaine
- Classification et données sensibles
- Éditions compatibles
- Bonnes pratiques de déploiement
Google Workspace DLP Gmail : qu’est-ce que la DLP pour Gmail ?
DLP signifie Data Loss Prevention, ou prévention contre la perte de données. Dans Google Workspace, un administrateur peut créer des règles qui inspectent les messages et pièces jointes afin d’identifier des informations sensibles correspondant à des conditions précises.
Google indique que les règles DLP Gmail peuvent s’appliquer aux messages envoyés à l’intérieur comme à l’extérieur de l’organisation. Elles peuvent rechercher des chaînes de texte, expressions régulières, détecteurs prédéfinis ou personnalisés et certains types d’informations personnelles ou financières.
Bloquer, avertir, mettre en quarantaine ou simplement auditer
Une règle DLP ne sert pas uniquement à détecter. Elle peut déclencher différentes actions selon le niveau de risque souhaité.
Empêcher l’envoi
Le message est bloqué lorsqu’il correspond à la règle. Cette option est adaptée aux données qui ne doivent jamais quitter un périmètre déterminé.
Laisser l’utilisateur décider
Google peut signaler qu’un contenu sensible a été détecté tout en permettant à l’utilisateur de poursuivre selon la politique définie.
Faire examiner le message
Le message peut être retenu afin qu’un administrateur ou processus autorisé l’examine avant décision.
Observer sans bloquer
Le message est envoyé mais l’événement est journalisé. C’est une excellente méthode pour mesurer l’impact d’une future règle avant de l’appliquer strictement.
Messages, pièces jointes et même texte présent dans certaines images
Les règles peuvent examiner le contenu des messages et des pièces jointes selon les formats pris en charge. Google indique également que la DLP Gmail peut utiliser la reconnaissance optique de caractères pour analyser du texte présent dans les images des pièces jointes.
Les conditions peuvent porter sur des contenus précis, des expressions ou des types de données prédéfinis. Cela permet par exemple de rechercher certaines informations d’identification, des numéros ou des motifs définis par l’organisation.
La qualité d’une politique DLP dépend toutefois de la qualité des règles. Une règle trop large produit des faux positifs et fatigue les utilisateurs ; une règle trop étroite laisse passer des cas importants.
Les labels de classification peuvent rendre la politique plus lisible
Google Workspace permet d’associer les règles DLP à des labels de classification. Une règle peut par exemple appliquer automatiquement un niveau de sensibilité lorsqu’un message contient certaines informations.
Ces labels peuvent aider les utilisateurs à comprendre que le message qu’ils manipulent est confidentiel, interne ou soumis à une politique particulière. Ils peuvent aussi servir de condition à d’autres règles de protection.
Cette approche est souvent plus compréhensible qu’une collection de règles invisibles : l’utilisateur voit la sensibilité attribuée au message et peut mieux comprendre pourquoi certaines actions sont limitées.
Commencer en mode audit avant de bloquer
Pour une nouvelle règle, le réflexe le plus prudent consiste généralement à commencer par l’observation. Utilisez d’abord une action d’audit pour vérifier combien de messages correspondent à la règle, quels utilisateurs sont concernés et si les détecteurs déclenchent des faux positifs.
| Phase | Action | Objectif |
|---|---|---|
| 1. Cartographier | Identifier les données réellement sensibles | Éviter des règles vagues ou inutiles |
| 2. Auditer | Journaliser sans bloquer | Mesurer les correspondances et faux positifs |
| 3. Avertir | Prévenir l’utilisateur | Ajouter une friction proportionnée |
| 4. Bloquer | Bloquer uniquement les cas justifiés | Protéger les données critiques |
Appliquer les règles à toute l’organisation ou à certains groupes
Les règles peuvent être ciblées sur des unités organisationnelles ou groupes spécifiques. C’est particulièrement utile lorsque les risques ne sont pas identiques partout.
Une équipe finance, juridique ou RH peut manipuler davantage d’informations sensibles qu’une autre équipe. À l’inverse, imposer les mêmes restrictions à tout le monde peut créer trop de frictions. Une politique progressive et ciblée est souvent plus efficace qu’un blocage général.
La DLP Gmail n’est pas incluse dans tous les forfaits Workspace
Google indique que la DLP Gmail est disponible sur certaines éditions, notamment Enterprise Standard et Enterprise Plus, ainsi que plusieurs offres Education et Frontline prises en charge. Elle peut également être disponible pour certains utilisateurs Cloud Identity Premium disposant d’une licence Workspace incluant Gmail.
Il ne faut donc pas acheter un forfait Google Workspace uniquement sur la base du prix public général en supposant que cette fonction est incluse. Vérifiez l’édition exacte et les fonctionnalités de sécurité associées avec Google avant de déployer une politique DLP.
À titre de contexte, les offres Workspace Business standard affichées publiquement en septembre 2026 commencent à 7 $/utilisateur/mois pour Business Starter, 14 $ pour Standard et 22 $ pour Plus sur la tarification standard annuelle affichée, mais ces prix ne signifient pas que la DLP Gmail est incluse.
Ne pas confondre DLP avancée et règles de conformité Gmail
Google Workspace possède aussi des paramètres avancés de conformité et de routage Gmail. Un administrateur peut par exemple définir des actions conditionnelles basées sur des mots, expressions, tailles de pièces jointes, expéditeurs ou destinataires.
Ces réglages peuvent couvrir des besoins utiles, mais ils ne doivent pas être présentés comme équivalents à toute la logique DLP moderne, qui ajoute détecteurs de données sensibles, labels de classification, événements de sécurité et plusieurs actions dédiées.
Ce que la DLP ne peut pas garantir
- Elle ne peut pas comprendre parfaitement le contexte métier de chaque message.
- Des règles agressives peuvent produire des faux positifs et ralentir le travail.
- Une donnée peut être communiquée par d’autres canaux que Gmail.
- Une organisation doit toujours gérer droits d’accès, partage Drive, appareils, identités et formation humaine.
- La présence d’une DLP ne garantit pas à elle seule la conformité à une réglementation.
La meilleure règle DLP est celle qui protège sans bloquer inutilement le travail
La DLP Gmail devient particulièrement pertinente lorsqu’une organisation traite régulièrement des informations personnelles, financières, contractuelles ou stratégiques. Mais sa valeur dépend beaucoup plus de la conception des règles que du simple fait d’activer la fonctionnalité.
Nous recommandons de commencer par quelques cas à haut risque, d’observer les événements en mode audit, puis d’augmenter progressivement le niveau d’application. Cette méthode réduit les faux positifs et aide les utilisateurs à comprendre les règles plutôt qu’à chercher à les contourner.
Questions fréquentes sur Google Workspace DLP
La DLP Gmail peut-elle bloquer un email ?
Oui. Une règle peut notamment bloquer un message, avertir l’utilisateur, le mettre en quarantaine ou simplement journaliser l’événement selon la configuration.
La DLP analyse-t-elle les pièces jointes ?
Oui, pour les types de pièces jointes pris en charge. Google indique également que l’OCR peut être utilisé pour détecter du texte présent dans les images des pièces jointes.
Business Plus inclut-il forcément la DLP Gmail ?
Non. La documentation Google consultée liste des éditions spécifiques prises en charge. Vérifiez toujours l’édition exacte avant achat.
Faut-il bloquer dès le premier jour ?
Généralement non. Commencer en mode audit permet de mesurer les correspondances et de corriger les règles avant d’introduire un blocage.
Approfondir la sécurité et la productivité avec l’IA
Retrouvez également notre guide sur les agents IA et l’automatisation ainsi que l’ensemble de nos guides et tutoriels IA.
Sources et méthode
- Google Workspace Admin — Prevent data leaks in email & attachments
- Google Workspace Admin — Gmail DLP & automatic classification labels
- Google Workspace Admin — Gmail advanced settings
- Google Workspace — Pricing
Documentation vérifiée en septembre 2026. Les fonctionnalités et éditions éligibles peuvent évoluer.
