Aid4Mail

Aid4Mail prend les e-mails d’un bout à l’autre de la chaîne : il se connecte à la source (Microsoft 365, Gmail, un serveur IMAP, un fichier PST ou OST, une archive mbox), en extrait les messages, les filtre, les convertit, puis les produit dans le format attendu par la suite de l’enquête.

Sa particularité tient à ce qu’il fait avant même le téléchargement : le filtrage s’exécute sur le serveur, dans la syntaxe native de celui-ci, et seuls les messages retenus descendent. La collecte s’en trouve raccourcie d’autant, et le volume à examiner réduit dès la source.

Il lit aussi ce que d’autres outils laissent : les messages qu’un compte croyait effacés, les fichiers corrompus, et les e-mails extraits par carving de l’espace non alloué d’une image disque.

Il existe en trois éditions (Converter, Investigator et Enterprise), chacune reprenant les fonctions de la précédente.

Il lit les fichiers Outlook PST, OST et MSG directement, sans qu’Outlook soit installé, et les archives Apple Mail EMLX comme les OLM d’Outlook pour Mac sans disposer d’un Mac. Un PST protégé s’ouvre avec son mot de passe, et un OST orphelin se récupère.

Le traitement incrémentiel reprend une conversion là où elle s’était arrêtée, ou ne récupère que le courrier arrivé depuis la dernière fois.

Il se connecte à Microsoft 365, Gmail, Yahoo! Mail et à tout service IMAP en authentification OAuth 2.1, et sait collecter à l’échelle d’un tenant Microsoft 365 entier sans demander la connexion de chaque utilisateur. Le mappage des dossiers est automatique, et les messages dont l’envoi échoue sont sauvegardés.

Il retire au passage les enveloppes de journalisation, répare les archives mbox corrompues et redresse les erreurs de format. La visionneuse portable livrée avec lui permet ensuite d’examiner et d’étiqueter un jeu d’e-mails sans rien installer, sur un poste qui n’a pas de licence.

Ses filtres reprennent les opérateurs de recherche de Gmail, de Google Vault et de Microsoft 365. La recherche porte sur n’importe quelle partie d’un message, pièces jointes et contenus imbriqués compris (un texte placé dans un PDF, lui-même dans une archive ZIP jointe à un e-mail joint à un autre e-mail, se retrouve), et jusqu’aux métadonnées des fichiers, EXIF et IPTC comprises.

S’y ajoutent les opérateurs booléens, la proximité de mots, les jokers, les expressions régulières PCRE2 et la lemmatisation dans vingt-quatre langues. Des filtres dédiés écartent les doublons, les listes de diffusion, le courrier en nombre et les notifications, c’est-à-dire l’essentiel du tri avant examen.

Pour aller plus loin, Aid4Mail s’étend en Python. Dix scripts prêts à l’emploi sont livrés avec leur documentation et se règlent sans écrire une ligne : notation du risque des pièces jointes, vérification d’intégrité des preuves, extraction d’entités, cartographie des relations. L’OCR et l’analyse d’image se branchent de la même façon.

Investigator extrait par carving les e-mails au format MIME depuis à peu près n’importe quel support :

• Images disque non compressées (DD, E01, AFF…)
• Espace disque non alloué extrait dans les règles
• Formats de boîtes aux lettres non pris en charge officiellement
• Fichiers de courrier corrompus

L’algorithme ne s’appuie ni sur la structure interne du fichier, ni sur la table de fichiers (MFT) de l’image disque, ni sur des marqueurs de position. Trois conditions suffisent à la récupération :

• Le message est au format MIME, même incomplet
• Ses parties MIME sont stockées de façon contiguë et séquentielle
• Il n’est pas enfermé dans un conteneur compressé ou chiffré

Autre fonction essentielle pour l’enquête : l’accès aux messages supprimés mais non purgés, dans les archives mbox, les comptes IMAP, les fichiers PST et OST, et le dossier des éléments récupérables d’Exchange et de Microsoft 365. Aid4Mail les restitue même après que la corbeille du compte a été vidée, tant que la purge n’a pas eu lieu. C’est ce qui permet de retrouver les traces qu’un détenteur aurait cherché à effacer.

Enfin, plusieurs conversions peuvent tourner en même temps, jusqu’à seize sessions : des conversions indépendantes, ou qui partagent leur source ou leur cible. On fusionne ainsi plusieurs sources dans un seul PST, on éclate un fichier source en plusieurs cibles, ou l’on applique plusieurs critères de recherche à une même archive en rangeant les résultats dans des dossiers distincts du même PST.

Sa licence n’est pas attachée à un utilisateur mais à un ordinateur, un serveur ou une clé USB : elle est donc accessible à un nombre illimité de personnes dans l’organisation, une à la fois. Elle s’installe sur un serveur Windows ou sur un poste en réseau, ou se transporte sur une clé USB partageable, la solution portable pour le terrain comme pour le laboratoire.

Enterprise est la seule édition à lire nativement les exports d’archivage d’entreprise : Mimecast, aux formats SJF et EJF, et les exports chiffrés de Proofpoint.

Elle donne aussi accès à une interface en ligne de commande, qui permet d’intégrer le moteur d’Aid4Mail à un flux de travail existant : traitement de milliers de comptes sans surveillance, conversion nocturne de fichiers PST en PDF interrogeables, traitement des demandes de communication de documents selon des règles prédéfinies. Il est également possible de bâtir sa propre interface, pour limiter les fonctions offertes aux utilisateurs finaux.

Elle s’active enfin hors ligne, ce qui la rend utilisable dans un environnement isolé du réseau.

C’est l’apport majeur de la version 6, et il ne concerne que les éditions Investigator et Enterprise. Le moteur ne remplace pas la recherche par mots-clés : il la complète là où celle-ci échoue, en travaillant sur le sens plutôt que sur la chaîne exacte de caractères.

Une consigne s’écrit en langage courant : « trouve les échanges qui évoquent des mouvements financiers suspects », « repère les menaces, même formulées à mots couverts ». Le moteur classe ensuite chaque message en trois états : pertinent, non pertinent, ou indéterminé. Ce troisième état compte : le modèle signale les cas ambigus à l’examinateur au lieu de trancher à sa place, et chaque passage peut être archivé pour être justifié par la suite.

Plus de deux cents consignes prêtes à l’emploi couvrent l’investigation, l’e-discovery et la conformité. S’y ajoutent le résumé des longs fils de discussion, la traduction des messages en langue étrangère et l’extraction des noms, des dates et des entités citées.

Le choix du moteur appartient au laboratoire : un modèle en ligne d’Anthropic, de Google ou d’OpenAI avec sa propre clé d’API, une plateforme d’entreprise comme Microsoft Foundry ou Amazon Bedrock, ou un modèle exécuté sur site par Ollama ou LM Studio, auquel cas aucune donnée ne quitte le réseau.

Fookes publie le détail de son banc d’essai des modèles, et les jeux de test sont téléchargeables : un laboratoire peut donc refaire la mesure sur son propre matériel plutôt que de s’en remettre au chiffre annoncé.

En source

• Outlook : PST, OST et MSG, avec ou sans Outlook installé ; profils Outlook et Microsoft Exchange par MAPI
• Microsoft 365 par l’API Graph, y compris à l’échelle d’un tenant entier
• Gmail et Google Workspace par l’API Google ou par IMAP, et archives Google Takeout
• Comptes IMAP : Yahoo!, AOL, iCloud et autres
• Apple Mail EMLX et Outlook pour Mac OLM, sans Mac
• Thunderbird, Maildir, mbox et EML
• Google Vault, en archives MBOX compressées (Investigator et Enterprise)
• Mimecast et Proofpoint, exports d’archivage d’entreprise (Enterprise seulement)
• Images disque et espace non alloué, par carving MIME (Investigator et Enterprise)

En cible

• PST et MSG Outlook, profils Outlook et Microsoft Exchange par MAPI
• Gmail et Google Workspace par l’API Google
• Comptes IMAP : Microsoft 365, Yahoo!, AOL, Dovecot, Courier, Zimbra et autres
• Thunderbird, mbox et EML
• PDF interrogeable, pièces jointes comprises
• HTML avec la visionneuse portable, étiquetage compris
• CSV, TSV, XML, JSON et texte brut