L’authentification CAS de l’Université d’Angers repose sur un couple identifiant/mot de passe unique qui ouvre l’accès à l’ENT, à Zimbra, à Moodle et à la licence Microsoft 365. Pour la rentrée 2026, plusieurs changements côté sécurité et cycle de vie des comptes méritent une attention particulière, surtout après la vulnérabilité critique référencée CVE-2026-73570 qui a touché des serveurs Zimbra cet été.
CVE-2026-73570 et conséquences sur l’infrastructure Zimbra Univ Angers
La faille CVE-2026-73570 permet une exécution de code à distance via le service SNMP de Zimbra. Elle a été activement exploitée sur des serveurs en production, au point que la CISA l’a ajoutée à sa liste de vulnérabilités exploitées. Des serveurs universitaires français ont été compromis.
L’Université d’Angers a publié une page dédiée à la mise à jour de sécurité de Zimbra, confirmant un déploiement de correctifs sur son infrastructure. Tout mot de passe Zimbra non changé depuis l’été 2026 doit être renouvelé avant la première connexion de rentrée. Nous recommandons de vérifier l’absence de règles de filtrage ou de redirections suspectes dans les paramètres de votre boîte, car ce type de backdoor persiste après le patching du serveur.
Le contexte cyber de la rentrée 2026 est tendu. Le ministère de l’Éducation nationale a lui-même signalé un incident de sécurité affectant des données détenues par ses services. Pour les étudiants et personnels d’Angers, la connexion Univ Angers via le portail CAS reste le seul point d’entrée légitime. Nous avons détaillé ce sujet sous l’angle de la configuration initiale, notamment cap rla 2.2 0 sur Diversité et Emploi, qui aborde le duo ENT-Zimbra dans sa globalité.
Cycle de vie du compte ENT et messagerie Zimbra après désinscription
Le compte ENT étudiant reste actif pendant toute la durée de l’inscription administrative. Après une désinscription, l’accès persiste jusqu’à mi-février de l’année suivante, avec Zimbra, Moodle et Microsoft 365 toujours fonctionnels pendant cette période de grâce.
Passé ce délai, la boîte Zimbra est supprimée. L’historique des messages disparaît définitivement. En revanche, l’adresse @univ-angers.fr est conservée sous forme de redirection vers une adresse personnelle renseignée dans le guichet numérique.
Le piège concret : si la redirection n’est pas paramétrée avant la fermeture du compte, les messages envoyés à l’adresse universitaire seront perdus sans notification. Pour un étudiant qui termine son cursus à l’été 2026, la fenêtre d’action se referme vers février 2027. Nous recommandons de configurer cette redirection dès l’obtention du diplôme, sans attendre la période de grâce.
Récupération de mot de passe ENT : le point de blocage récurrent
La procédure de récupération de mot de passe ENT dépend d’une adresse mail externe (Gmail, Outlook ou autre) distincte de l’adresse @etud.univ-angers.fr. Cette adresse doit être renseignée dans le profil du guichet numérique avant toute perte d’accès.
Le scénario classique à chaque rentrée : un étudiant n’a jamais renseigné d’adresse de récupération, ou celle-ci n’est plus valide. La réinitialisation en ligne échoue, et la seule issue reste un passage physique au guichet de la scolarité avec une pièce d’identité. En période de rentrée, les files d’attente rendent cette démarche particulièrement longue.
Trois vérifications à effectuer dès maintenant :
- Confirmer que l’adresse mail externe associée au compte ENT est toujours accessible et non expirée
- Tester la procédure de réinitialisation du mot de passe depuis la page CAS pour s’assurer que le lien de récupération arrive bien dans la boîte externe
- Mettre à jour le numéro de téléphone associé au compte si l’université propose un second facteur de vérification
Configurer Zimbra en IMAP sur un client mail externe
Le protocole IMAP reste la méthode recommandée pour synchroniser Zimbra avec un client mail tiers (Thunderbird, Apple Mail, Outlook desktop). Le webmail Zimbra fonctionne sur tous les navigateurs récents, mais la synchronisation IMAP offre un accès hors connexion et une sauvegarde locale des messages.
Les paramètres de connexion IMAP sont documentés dans la FAQ Zimbra de l’université. Le serveur entrant utilise le port sécurisé avec chiffrement SSL/TLS. Le serveur sortant SMTP suit la même logique. L’identifiant est le login CAS complet, pas l’adresse mail.
Un point technique que les guides grand public omettent : la configuration IMAP sur smartphone Android ou iOS nécessite parfois de désactiver l’authentification OAuth si le client mail tente de l’utiliser par défaut. Zimbra n’utilise pas OAuth mais une authentification par mot de passe classique. Sur l’application Gmail d’Android, il faut sélectionner « Autre » et non « Exchange » pour éviter une boucle d’erreur d’authentification.
Gestion des pièces jointes volumineuses et quota de boîte Zimbra
La messagerie Zimbra de l’Université d’Angers applique des règles d’envoi strictes sur la taille des pièces jointes. Pour diffuser un fichier volumineux, le recours à UA Box (le service de stockage cloud de l’université) est la solution prévue par la DSI.
UA Box a elle aussi fait l’objet d’une mise à jour de sécurité en 2026, documentée sur le site de l’université dans la même communication que le patch Zimbra. Vérifiez que votre accès UA Box fonctionne avant d’en avoir besoin pour un rendu de dossier ou un envoi groupé.
Quelques règles opérationnelles à retenir :
- Ne jamais envoyer de pièce jointe dépassant la limite fixée par la messagerie : utiliser systématiquement un lien de partage UA Box
- Vider régulièrement la corbeille Zimbra, car les messages supprimés comptent dans le quota tant qu’ils ne sont pas purgés définitivement
- Surveiller les messages de spam filtrés dans le dossier « Courrier indésirable », qui consomment aussi de l’espace et peuvent contenir des faux positifs
La rentrée 2026 à l’Université d’Angers impose une vigilance accrue sur la sécurité des comptes numériques. Entre la faille Zimbra exploitée cet été et les délais serrés de configuration post-inscription, anticiper ces réglages avant le premier cours reste le moyen le plus fiable d’éviter un blocage administratif en pleine période de rush.