Mercure est le portail numérique de la Direction Générale des Douanes et Droits Indirects (DGDDI), accessible à l’adresse mercure.douane.gouv.fr. La messagerie Zimbra qui y est intégrée sert d’outil de communication interne aux agents des douanes. Pour qui découvre cet environnement, la connexion, la gestion du mot de passe et les contraintes de sécurité peuvent sembler opaques. Cet article pose le cadre technique réel de la plateforme, ses limites d’accès et les risques de cybersécurité récents qui pèsent sur Zimbra.
Failles de sécurité Zimbra exploitées depuis 2025 : ce que cela change pour les agents
Depuis 2025, la suite Zimbra a fait l’objet de plusieurs correctifs critiques portant sur des vulnérabilités de type XSS, injection de commandes et SSRF, notamment sur les versions 10.0.x et 10.1.x.
A voir aussi : Comment melanie2web din peut améliorer la messagerie des ministères
Des campagnes d’attaques ciblées, attribuées à des groupes soutenus par des États, ont exploité ces failles. La vulnérabilité CVE-2025-66376 a fait l’objet d’une alerte conjointe d’agences de cybersécurité occidentales en juillet 2026, accompagnée de recommandations d’inventaire et de mise à jour systématique des serveurs Zimbra.
Certaines failles permettaient de compromettre une boîte aux lettres simplement à l’affichage d’un e-mail, sans que l’utilisateur clique sur un lien ou ouvre une pièce jointe. Ce vecteur d’attaque rend les mesures classiques de vigilance (ne pas cliquer sur les liens suspects) partiellement insuffisantes.
A lire également : Optimisez votre collaboration avec Zimbra CD66 : guide complet
Dans les établissements publics européens (universités, organismes de recherche), ces alertes ont conduit à des politiques de mise à jour accélérées. Parmi les mesures documentées : passage immédiat aux versions corrigées, inventaire exhaustif des serveurs Zimbra, et interdiction temporaire du « Classic Web Client » tant que tous les serveurs n’étaient pas à jour.
Il est raisonnable de penser que la DGDDI applique des contraintes similaires, même si les retours terrain sur le calendrier précis de déploiement ne sont pas publics.
Accès à la messagerie Mercure douane : qui peut se connecter et comment
La messagerie Zimbra de Mercure est réservée aux agents de la DGDDI. Les opérateurs économiques privés (importateurs, exportateurs, transitaires) accèdent au portail Mercure pour les modules métier (Delta G, Delta X, ICS), mais pas à la messagerie interne.
La connexion passe par un identifiant fourni par le SDIT (Service des Systèmes d’Information des Douanes) et un mot de passe soumis à renouvellement périodique. Le formulaire d’habilitation au portail est le Cerfa n°13946*05. Les navigateurs supportés, affichés sur la page d’authentification de mercure.douane.gouv.fr, incluent Chrome, Firefox, Edge, Safari et Opera.
Contraintes techniques à anticiper
- Le compte se bloque après plusieurs tentatives de connexion infructueuses. Un délai de déblocage automatique s’applique avant de pouvoir réessayer.
- L’accès depuis un poste extérieur au réseau douanier nécessite un tunnel sécurisé, réservé aux comptes professionnels actifs.
- Le portail fonctionne en continu, mais les créneaux de maintenance ne sont pas toujours annoncés longtemps à l’avance, ce qui peut bloquer l’accès de façon temporaire.
Si la page d’authentification ne se charge pas, vérifier d’abord que le navigateur est à jour et que le certificat de sécurité du poste n’a pas expiré. Ce dernier point est une cause fréquente de blocage, souvent confondue avec un problème de mot de passe.
Zimbra, Carbonio et souveraineté numérique : le contexte français
Zimbra a été rebaptisé Carbonio dans ses versions les plus récentes. Ce changement de nom traduit une évolution de l’éditeur (Zextras), mais ne modifie pas fondamentalement l’interface pour l’utilisateur final. Les agents qui connaissent Zimbra retrouveront les mêmes fonctions : messagerie, agenda partagé, gestion de contacts, accès aux documents de service.
Le choix de Zimbra par l’administration douanière s’inscrit dans une logique plus large. Le CNRS, par exemple, a remplacé Microsoft Exchange et Zoom par des outils souverains, dont Zimbra fait partie. La souveraineté numérique des outils de communication publics est un axe de politique affirmé au niveau national, qui rend peu probable un abandon de Zimbra au profit d’une solution cloud américaine à court terme.
En revanche, cette souveraineté technique impose une contrepartie : la maintenance et la sécurisation des serveurs reposent sur les équipes internes ou leurs prestataires, sans le filet de mise à jour automatique qu’offrent les grands éditeurs SaaS. Les alertes de sécurité de 2025-2026 illustrent ce que cela implique concrètement en termes de réactivité.
Mot de passe perdu ou compte bloqué sur Mercure douane : la marche à suivre
La réinitialisation du mot de passe ne se fait pas en libre-service comme sur un webmail grand public. Le point de contact reste le SDIT ou le référent informatique de votre direction. Il n’existe pas de bouton « mot de passe oublié » sur la page de connexion de mercure.douane.gouv.fr au sens habituel du terme.
Pour un compte bloqué après des tentatives infructueuses, la première étape est d’attendre le délai de déblocage automatique. Si le problème persiste, le passage par le support interne est la seule option documentée.
- Ne pas tenter de se connecter depuis un autre poste pendant le délai de blocage, car cela peut prolonger le verrouillage.
- Vérifier que le navigateur n’a pas mémorisé un ancien mot de passe qui serait envoyé automatiquement à chaque tentative.
- S’assurer que le certificat électronique du poste est valide, surtout en cas d’accès distant via tunnel sécurisé.
La distinction entre un problème de mot de passe, un certificat expiré et une maintenance serveur n’est pas toujours évidente. Le réflexe de contacter le SDIT avant de multiplier les tentatives évite de transformer un blocage temporaire en verrouillage prolongé.
La messagerie Mercure douane et son socle Zimbra forment un outil fonctionnel mais exigeant sur le plan technique. Les failles de sécurité documentées depuis 2025 montrent qu’une messagerie institutionnelle reste exposée aux mêmes vulnérabilités que tout autre service web hébergé en propre. Pour un nouvel agent, la priorité reste de valider son habilitation, de sécuriser son poste et de connaître le bon interlocuteur en cas de blocage, plutôt que de chercher des raccourcis de connexion.
