SPF, DKIM et DMARC sont trois techniques qui aident à prouver qu'un e-mail a bien été envoyé au nom de votre domaine. Elles sont essentielles pour compliquer le spoofing et le phishing, et contribuent également à une bonne délivrabilité des e-mails.
L'e-mail n'a pas été conçu à l'origine avec un contrôle d'identité strict. Cela permet à un attaquant d'essayer de faire croire qu'un message provient de :
alors que le message a en réalité été envoyé par un serveur complètement différent.
Ceci s'appelle le spoofing d'e-mail.
La réponse simple d'abord
SPF :
Quels systèmes sont autorisés à envoyer des e-mails au nom de mon domaine ?
DKIM :
Le destinataire peut-il vérifier cryptographiquement que le message a été correctement signé ?
DMARC :
L'authentification correspond-elle au domaine que l'utilisateur voit comme expéditeur, et que faire si ce n'est pas le cas ?
Une comparaison simple
Supposons que votre entreprise soit un bâtiment et que seuls certains coursiers soient autorisés à envoyer des colis au nom de votre entreprise.
DKIM = le sceau officiel sur le colis.
DMARC = la vérification que le coursier, le sceau et l'expéditeur correspondent logiquement, ainsi que l'instruction sur ce qu'il faut faire des colis suspects.
La technique réelle est un peu plus complexe, mais cela illustre bien comment ces trois mécanismes se complètent.
1. Qu'est-ce que SPF ?
SPF signifie Sender Policy Framework.
Dans le DNS, votre organisation publie quels systèmes ont la permission d'envoyer des e-mails au nom de votre domaine.
Pensez par exemple à :
- Microsoft 365 ;
- un système CRM ;
- une plateforme marketing ;
- un logiciel de comptabilité ;
- une boutique en ligne ;
- un système de ticketing ;
- d'autres plateformes de messagerie légitimes.
Lorsqu'un serveur de réception reçoit un message, il peut vérifier si l'infrastructure d'envoi est autorisée dans la politique SPF du domaine.
"Ce serveur est-il autorisé à envoyer des e-mails pour ce domaine ?"
Pourquoi SPF échoue-t-il souvent ?
Beaucoup d'organisations utilisent plus de systèmes d'envoi qu'elles ne le pensent.
Par exemple, Microsoft 365 est correctement inclus, mais en plus, envoient aussi des e-mails :
- le site web ;
- le CRM ;
- le logiciel de facturation ;
- le scanner ;
- une plateforme de newsletters
au nom du même domaine.
Un seul système oublié peut faire échouer la validation SPF de messages légitimes.
Puis-je créer plusieurs enregistrements SPF ?
Pour un domaine, il ne doit y avoir en pratique qu'une seule politique SPF valide.
Si vous avez plusieurs plateformes d'envoi, elles sont combinées dans cette politique.
Cela peut rendre la validation SPF invalide ou imprévisible.
2. Qu'est-ce que DKIM ?
DKIM signifie DomainKeys Identified Mail.
Avec DKIM, un e-mail sortant reçoit une signature numérique cryptographique.
Le serveur d'envoi signe le message avec une clé privée. Le serveur de réception utilise des informations publiées via DNS pour vérifier cette signature.
"Ce message est-il correctement signé par le domaine qui utilise cette signature DKIM ?"
Quel est l'avantage de DKIM ?
DKIM rend beaucoup plus difficile la falsification d'un message convaincant au nom de votre domaine.
De plus, le destinataire peut vérifier que les parties importantes signées du message n'ont pas été modifiées depuis la signature.
3. Qu'est-ce que DMARC ?
DMARC signifie Domain-based Message Authentication, Reporting and Conformance.
DMARC utilise les résultats de SPF et DKIM, mais ajoute un principe très important : l'alignement.
Cela signifie simplement que DMARC vérifie si les domaines authentifiés techniquement par SPF ou DKIM correspondent suffisamment au domaine que l'utilisateur voit dans l'adresse De / From.
ceo@votresociete.fr
DMARC aide à vérifier que l'authentification sous-jacente est aussi cohérente avec votresociete.fr.
Pourquoi l'alignement est-il si important ?
Sans DMARC, un attaquant pourrait dans certains scénarios authentifier techniquement un message via un autre domaine valide tout en affichant votre domaine dans l'adresse From visible.
DMARC établit donc le lien entre l'authentification technique et le domaine réellement vu par le destinataire.
Que signifient p=none, p=quarantine et p=reject ?
Dans un enregistrement DMARC, le propriétaire du domaine publie également une politique.
Les principales options sont :
p=none
Surveillance. Le domaine ne demande pas encore aux systèmes de réception de bloquer ou mettre en quarantaine les messages échouant DMARC.
p=quarantine
Les messages qui échouent DMARC sont préférentiellement traités comme suspects, par exemple placés en spam ou en quarantaine.
p=reject
Le domaine demande aux systèmes de réception de rejeter les messages qui échouent DMARC.
Si tous les flux légitimes ne sont pas correctement inventoriés et authentifiés, vous risquez de bloquer aussi de vrais e-mails d'entreprise.
Pourquoi commence-t-on souvent par p=none ?
Une organisation ne sait pas toujours immédiatement quels systèmes envoient des e-mails pour son domaine.
Avec DMARC en mode surveillance, vous pouvez collecter des rapports et découvrir :
- quels systèmes envoient des e-mails pour votre domaine ;
- quels messages passent ou échouent SPF ;
- quels messages passent ou échouent DKIM ;
- quels flux d'envoi atteignent l'alignement DMARC ;
- quelles sources inconnues tentent d'utiliser votre domaine.
d'abord comprendre les flux mail, puis corriger, et enfin évoluer vers une politique DMARC plus stricte de manière contrôlée.
SPF seul ne suffit donc pas ?
Exact.
SPF est important, mais a des limites. Par exemple, SPF vérifie un domaine expéditeur technique SMTP et pas nécessairement le domaine visible dans le champ From pour l'utilisateur final.
De plus, certaines formes de transfert d'e-mail peuvent faire échouer SPF.
C'est pourquoi vous souhaitez combiner SPF avec DKIM et DMARC.
sont bien plus puissants que chacune de ces techniques séparément.
DMARC protège-t-il contre tout phishing ?
Non.
C'est une nuance importante.
DMARC protège surtout contre l'abus où quelqu'un essaie de falsifier directement votre vrai nom de domaine en expéditeur.
Un attaquant peut toujours enregistrer un autre domaine très similaire au vôtre.
flexamit.com
Domaine ressemblant, à titre d'exemple :
flexamlt.example
SPF, DKIM et DMARC sont donc des couches de sécurité essentielles, mais ne remplacent pas une bonne protection anti-phishing et la sensibilisation à la sécurité.
La sécurité technique et un comportement vigilant des utilisateurs restent indispensables.
Cela influence-t-il aussi si mes e-mails vont dans le spam ?
Oui, l'authentification e-mail est un signal important pour les plateformes de réception.
Microsoft conseille aux organisations de configurer correctement SPF, DKIM et DMARC. Une authentification manquante ou incorrecte peut contribuer à ce que les messages soient considérés comme indésirables ou suspects.
Mais ici aussi :
Les fournisseurs de messagerie examinent aussi :
- la réputation de l'expéditeur ;
- le comportement d'envoi ;
- les plaintes pour spam ;
- les rejets (bounces) ;
- le contenu ;
- les liens et pièces jointes ;
- l'historique de l'expéditeur ;
- d'autres signaux anti-phishing et anti-spam.
J'utilise Microsoft 365. Est-ce automatiquement correct ?
Non, pas pour votre propre domaine personnalisé.
Microsoft 365 fournit la technologie pour envoyer des e-mails et supporter DKIM, mais la configuration DNS correcte pour votre domaine d'entreprise doit toujours être mise en place correctement.
De plus, les entreprises utilisent souvent d'autres plateformes d'envoi en plus de Microsoft 365.
Par exemple :
- CRM ;
- facturation ;
- site web ;
- marketing ;
- plateforme RH ;
- ticketing ;
- applications qui envoient automatiquement des rapports.
Puis-je configurer cela moi-même ?
Techniquement, SPF, DKIM et DMARC sont des enregistrements DNS, mais une mise en œuvre correcte demande plus que d'ajouter trois enregistrements.
Il faut d'abord déterminer :
- quels systèmes envoient des e-mails au nom de votre domaine ;
- quel domaine ces systèmes utilisent pour SPF ;
- quels systèmes supportent DKIM ;
- si DKIM est correctement signé ;
- si SPF et/ou DKIM sont correctement alignés avec le domaine From visible ;
- ce que montrent les rapports DMARC ;
- quels systèmes doivent être ajustés avant d'adopter une politique stricte.
C'est pourquoi il est préférable de n'appliquer une politique DMARC stricte qu'après avoir contrôlé l'ensemble du flux e-mail.
Faites gérer l'authentification e-mail par des spécialistes
Une bonne sécurité e-mail va au-delà de l'ajout d'un seul enregistrement SPF.
Une approche professionnelle comprend notamment :
- l'inventaire de toutes les sources d'envoi ;
- une politique SPF correcte ;
- DKIM pour les plateformes mail appropriées ;
- la surveillance DMARC ;
- l'analyse des rapports DMARC ;
- la correction des flux mail non alignés ;
- la mise en œuvre contrôlée de quarantine ou reject ;
- un suivi continu lors de l'ajout de nouvelles plateformes mail.
Nous ne nous limitons pas à Microsoft 365, mais examinons tous les systèmes qui envoient des e-mails pour votre domaine et veillons à ce que SPF, DKIM et DMARC soient correctement alignés.
Notre expertise en cybersécurité a été reconnue trois années consécutives par notre distributeur Microsoft avec le prix Cybersecurity Partner of the Year.
Vous souhaitez savoir si votre domaine est correctement protégé contre le spoofing d'e-mail ?
Contactez :
sales@flexamit.com
Vous avez un problème avec les e-mails ?
Vous êtes client FLEXAMIT et vos e-mails échouent soudainement SPF, DKIM ou DMARC, sont refusés ou finissent systématiquement en spam ?
Contactez notre service desk via :
support@flexamit.com
Fournissez si possible un exemple de message, un message d'erreur ou un rapport de non-distribution. Les en-têtes originaux des e-mails sont souvent importants pour analyser correctement la cause.
En résumé
- SPF détermine quels systèmes sont autorisés à envoyer des e-mails pour votre domaine.
- DKIM ajoute une signature cryptographique aux e-mails.
- DMARC vérifie l'alignement et publie une politique pour l'authentification échouée.
- SPF, DKIM et DMARC doivent être considérés ensemble.
- DMARC protège surtout contre le spoofing direct de votre propre domaine, pas contre toutes les formes de phishing.
- Ne commencez pas aveuglément par p=reject sans connaître toutes les sources d'envoi légitimes.
- Une authentification e-mail correcte aide à la fois la sécurité et la délivrabilité.
- Microsoft 365 seul ne garantit pas que votre domaine personnalisé soit automatiquement configuré correctement.
- Les nouvelles plateformes mail doivent aussi être prises en compte dans l'authentification e-mail.
Commentaires
0 commentaire
Vous devez vous connecter pour laisser un commentaire.