Sophos Email : gérer les licences, l’utilisation et la durée

Avec Sophos Email, les besoins en licences ne dépendent pas simplement de tous les objets d’adresse présents dans l’annuaire. Sont comptabilisées les boîtes aux lettres individuelles et partagées pour lesquelles Sophos a traité au moins un message au cours des 30 derniers jours. En revanche, les alias, listes de distribution et dossiers publics ne nécessitent pas leur propre licence.

Parcours rapide : choisissez l’édition et les modules complémentaires selon les fonctions requises, inventoriez les boîtes aux lettres individuelles et partagées, puis rapprochez-les des droits disponibles sous Reports > Email Security > License Usage Summary. Corrigez rapidement tout dépassement ou achetez les licences supplémentaires nécessaires. Avant la fin d’un essai ou d’un contrat, prenez une décision ferme concernant le renouvellement ou le retrait ; ne comptez pas sur une éventuelle licence temporaire.

Choisir le bon périmètre de licence

Sophos propose deux éditions de base :

Sophos Email inclut les fonctions essentielles de sécurité et de protection de la messagerie.
Sophos Email Plus inclut ces fonctions ainsi que des fonctions avancées supplémentaires de protection et de reporting.

Consignez précisément les fonctions requises avant la commande et demandez au partenaire ou au service commercial Sophos de confirmer leur correspondance avec l’édition actuelle. Vous évitez ainsi de déduire une édition du nom d’une fonction si l’offre évolue. Sophos Email est destiné aux clients professionnels, notamment aux entreprises, aux établissements d’enseignement et aux organismes publics. Il est aussi disponible auprès d’un Managed Service Provider sous forme d’offre Flex mensuelle, avec les mêmes règles de licence.

Les licences sont activées et gérées dans Sophos Fusion (anciennement Sophos Central) via Profile icon > Licensing. La commande doit au minimum préciser l’édition, la durée ainsi que le nombre prévu de boîtes aux lettres individuelles et partagées à protéger.

Planifier séparément les modules complémentaires

Portal Encryption

Portal Encryption ajoute à Sophos Email le chiffrement par portail. Le message est stocké sous forme chiffrée sur le portail web ; le destinataire s’y connecte, le lit et peut répondre depuis le portail. Le module complémentaire permet également de personnaliser l’identité visuelle des messages de chiffrement et du portail.

Les limites suivantes s’appliquent :

Vous pouvez démarrer un essai gratuit du module complémentaire si vous possédez déjà une licence Sophos Email achetée.
Vous ne pouvez pas essayer simultanément Sophos Email et le module complémentaire Portal Encryption.
Le nombre de licences Portal Encryption ne peut pas dépasser celui des licences Sophos Email.
L’attribution aux utilisateurs s’effectue via la Secure Message policy.
La personnalisation des messages de chiffrement et du portail nécessite le module complémentaire.

DMARC Manager

DMARC Manager est inclus dans Sophos Email Plus et proposé séparément comme module complémentaire aux clients Sophos Email ainsi qu’aux clients disposant d’une licence Sophos Email Monitoring System (EMS). Sophos Email et EMS restent toutefois des produits distincts. La disponibilité du module complémentaire pour EMS ne permet de déduire ni qu’une licence Sophos Email confère un droit d’utilisation de base d’EMS, ni l’inverse.

DMARC Manager fournit des rapports de synthèse et détaillés sur l’authentification et la conformité DMARC des e-mails sortants. Pour rapprocher les licences, consignez séparément le produit de base détenu et le droit d’utilisation de DMARC Manager. Si le droit attendu est absent, clarifiez la commande avec le partenaire ou le service commercial Sophos. Si ce droit est présent, mais que les rapports n’apparaissent toujours pas après une configuration réussie, consultez le guide de configuration et de diagnostic correspondant à DMARC Manager ou à EMS, ou contactez le support Sophos.

Comment Sophos calcule l’utilisation

Le rapport License Usage Summary comptabilise chaque boîte aux lettres pour laquelle Sophos Email a traité au moins un e-mail au cours des 30 derniers jours. La consommation est actualisée toutes les quatre heures. Quatre distinctions importantes en découlent :

Les utilisateurs individuels et les boîtes aux lettres partagées nécessitent une licence lorsqu’ils sont protégés et qu’un message a été traité pour eux dans la fenêtre de 30 jours.
Un alias, une liste de distribution ou un dossier public ne nécessite pas sa propre licence.
Une boîte aux lettres existante pour laquelle aucun message n’a été traité au cours des 30 derniers jours ne contribue pas à la consommation actuelle. Elle peut être comptabilisée de nouveau dès que Sophos traite un message pour elle.
Lorsqu’une boîte aux lettres est supprimée de Sophos Email, Sophos la retire immédiatement du calcul ; la valeur réduite apparaît au cours du cycle d’actualisation de quatre heures.

Le rapport Email combine l’utilisation unique de Sophos Email et Sophos Phish Threat. Il ne sépare pas les deux produits en deux valeurs de consommation. Si vous utilisez les deux produits, n’interprétez donc pas le total affiché comme le seul nombre de boîtes aux lettres Sophos Email et n’additionnez pas simplement les deux inventaires.

Rapprocher la consommation et les droits acquis

Pour effectuer un rapprochement mensuel fiable :

Relever les droits : notez l’édition, la durée, la quantité sous licence ainsi que le périmètre de Portal Encryption et de DMARC Manager à partir du contrat ou de la confirmation du partenaire.
Établir l’inventaire attendu : relevez les boîtes aux lettres individuelles et partagées protégées depuis la source de référence des boîtes aux lettres. Marquez séparément les alias, listes de distribution et dossiers publics au lieu de les comptabiliser comme éléments soumis à licence.
Ouvrir le rapport : sous Reports > Email Security > License Usage Summary, contrôlez la valeur et toute indication de dépassement.
Expliquer les écarts : tenez compte de la fenêtre glissante de 30 jours, du cycle d’actualisation de quatre heures, des boîtes aux lettres supprimées et de l’utilisation unique combinée d’Email et de Phish Threat.
Documenter la décision : ne supprimez les boîtes aux lettres devenues inutiles qu’après avoir vérifié leurs dépendances métier et techniques ; sinon, procurez-vous suffisamment de licences.

Un instantané de l’annuaire et le rapport ne sont pas nécessairement identiques : l’annuaire montre les objets existants, tandis que le rapport indique l’utilisation unique réellement traitée pendant la période glissante. La planification de la capacité doit donc aussi tenir compte de la croissance et de la réactivation de boîtes aux lettres existantes.

Traiter un dépassement

Lorsque le périmètre couvert par la licence est dépassé, Sophos signale le compte et envoie une alerte Sophos Central. Dans un premier temps, toutes les boîtes aux lettres restent entièrement protégées. Dans License Usage Summary, vous pouvez examiner les boîtes aux lettres signalées comme dépourvues de licence en raison du dépassement.

N’ignorez toutefois pas l’alerte. Vérifiez d’abord le modèle de comptabilisation et l’inventaire, ne supprimez que les boîtes aux lettres réellement devenues inutiles, ou achetez des licences supplémentaires auprès du service commercial. Sans action de votre part, Sophos vous demandera de réduire le nombre d’utilisateurs ou d’acheter les licences supplémentaires. Le résultat exact peut dépendre du type de licence et de la date d’expiration.

Terminer l’essai de manière contrôlée

L’essai gratuit de Sophos Email dure 30 jours et donne accès à toutes les fonctions de Sophos Email. Sophos Email fait partie de la licence d’essai Sophos Central standard et est automatiquement inclus lors d’une demande d’essai. Avant de commencer, consignez les dates de début et de fin, le nombre prévu de boîtes aux lettres, l’édition cible souhaitée et la personne responsable de l’achat ou du retrait.

Après la fin de l’essai, Sophos peut maintenir la protection au moyen d’une licence temporaire de courte durée pendant 30 jours supplémentaires au maximum. Ce n’est ni garanti ni nécessairement gratuit ; Sophos se réserve le droit de facturer des frais de licence. Une prolongation de l’essai n’est pas garantie non plus. En cas de dépassement du quota d’essai, Sophos signale le compte à la fin du mois afin qu’il soit mis en conformité, et demande une réduction ou le paiement des licences supplémentaires.

Sécuriser l’expiration et le retrait

Sans renouvellement, la protection prend fin et Sophos révoque l’accès à Sophos Email après une éventuelle période temporaire. Si vous renouvelez pendant une période temporaire accordée, la nouvelle licence commence rétroactivement le jour où l’ancienne licence a pris fin. Planifiez donc le renouvellement ou le retrait avant la date de fin contractuelle et contactez immédiatement le partenaire ou le service commercial Sophos si la licence a déjà expiré.

Le retrait dépend du mode du domaine :

Gateway : vous devez modifier manuellement les enregistrements MX afin que les e-mails ne soient plus dirigés vers Sophos. S’ils continuent à pointer vers Sophos, les messages seront rejetés après la fin de la protection. Testez le nouveau chemin cible ou le chemin restauré avant la fin de l’accès Sophos.
Mailflow : Sophos déclenche un nettoyage automatique de la configuration dans Microsoft 365. Vous devez néanmoins vérifier explicitement dans Microsoft 365 que les connecteurs et les règles Mailflow ont été supprimés. « Automatique » ne remplace pas le contrôle final.

La date d’expiration ne constitue pas à elle seule un plan de bascule. Le changement doit réunir les responsables, le chemin de messagerie actuel, le chemin cible approuvé, les messages de test et le contact d’escalade. Ne modifiez le routage qu’au moyen d’une procédure documentée propre au fournisseur ; ce guide sur les licences n’invente aucune étape relative aux connecteurs ou au DNS.

Vérifier systématiquement les écarts

Rapport supérieur aux attentes : vérifiez si des messages ont encore été traités au cours des 30 derniers jours pour des boîtes aux lettres désormais inactives et si Phish Threat contribue à l’utilisation unique combinée. Ne traitez pas les alias, listes de distribution et dossiers publics comme des licences distinctes.
Boîte aux lettres supprimée toujours visible : relevez l’heure de suppression, puis contrôlez de nouveau après le prochain cycle de quatre heures. Si la valeur reste ensuite inchangée, documentez les données du rapport et la boîte aux lettres concernée pour le support Sophos.
Rapport inférieur à l’inventaire : vérifiez pour quelles boîtes aux lettres des messages ont réellement été traités dans la fenêtre glissante de 30 jours. Une valeur actuelle basse ne garantit pas que la quantité sera suffisante lorsque le trafic de messagerie reprendra.
Alerte malgré une quantité apparemment suffisante : comparez la quantité et l’édition contractuelles avec Licensing, puis contrôlez le rapport combiné Email/Phish Threat. Ne supprimez aucun objet de protection dans le seul but de corriger l’apparence du rapport.
Date de fin incertaine : obtenez une confirmation écrite du partenaire ou du service commercial. D’ici là, ne considérez comme garanties ni une éventuelle période temporaire de 30 jours ni le nettoyage automatique de Mailflow.