Les e-mails professionnels doivent remplir fièrement deux objectifs : ils doivent parvenir au destinataire et celui-ci doit pouvoir vérifier si un message provient effectivement du domaine indiqué.
Trois procédés techniques jouent précisément un rôle central dans ce domaine : SPF, DKIM et DMARC.
Les termes semblent d'abord compliqués. Le principe de base qui se cache derrière est cependant relativement simple : SPF détermine quels serveurs sont autorisés à envoyer des e-mails pour un domaine, DKIM dote les messages d'une signature numérique vérifiable et DMARC définit la manière de traiter les messages qui échouent à ces contrôles.
Cet article explique clairement SPF, DKIM et DMARC, montre pourquoi ces trois méthodes sont indissociables et pourquoi une configuration correcte fait aujourd'hui partie intégrante de l'infrastructure de messagerie de base des entreprises.
Pourquoi faut-il authentifier un e-mail ?
Une adresse d'expéditeur dans un e-mail est fondamentalement plus facile à falsifier que beaucoup d'utilisateurs ne le supposent.
Les attaquants peuvent par exemple essayer de faire en sorte qu'un message ait l'air de provenir de rechnung@ihre-firma.ch, bien que l'e-mail ait effectivement été envoyé via un système tiers.
Cette usurpation d'une fausse identité d'expéditeur est souvent qualifiée de Usurpation d'adresse e-mail appelé. Il joue notamment un rôle important dans les tentatives de hameçonnage et d'escroquerie.
SPF, DKIM et DMARC aident les serveurs de messagerie récepteurs à évaluer techniquement mieux de tels messages.
Qu'est-ce que le SPF ?
FPS représente Sender Policy Framework.
Une entrée dans le DNS d'un domaine détermine quels serveurs de messagerie ou systèmes sont autorisés à envoyer des e-mails au nom de ce domaine.
Pour faire simple, SPF répond à la question :
„Ce serveur a-t-il le droit d'envoyer des e-mails pour ce domaine ?“
Un exemple simple
Supposons qu'une entreprise envoie ses e-mails exclusivement via un serveur de messagerie spécifique.
L'enregistrement SPF permet de déterminer que ce serveur est autorisé à envoyer des e-mails. Si un serveur de messagerie tiers reçoit ensuite un message, il peut vérifier la règle SPF du domaine de l'expéditeur.
Si le message provient d'un système autorisé, il réussit ce test.
Si, en revanche, elle est envoyée via un serveur non prévu à cet effet, cela peut être pris en compte lors de l'évaluation du message.
Pourquoi le SPF ne suffit pas
Le SPF est important, mais il ne résout pas à lui seul le problème de l'authentification des e-mails.
Entre autres, les transferts et des structures d'expédition plus complexes peuvent influencer la vérification SPF. De plus, le SPF n'authentifie pas simplement l'expéditeur visible tel qu'un utilisateur le perçoit dans son logiciel de messagerie.
C'est pourquoi, dans une configuration de courrier électronique propre, SPF est combiné avec d'autres méthodes.
Qu'est-ce que DKIM ?
DKIM représente DomainKeys Identified Mail.
Alors que SPF vérifie le serveur expéditeur, DKIM fonctionne avec une signature cryptographique.
Le serveur de messagerie expéditeur appose une signature numérique sur un e-mail. La clé publique correspondante est mise à disposition via le DNS du domaine.
Le serveur de messagerie destinataire peut ainsi vérifier si la signature DKIM est valide.
En termes simplifiés, DKIM répond ainsi à la question :
„Cette expression est-elle assortie d'une signature valide de la part du domaine concerné ?“
Pourquoi DKIM est important pour la délivrabilité
Les fournisseurs de messagerie doivent faire le tri chaque jour entre d'énormes quantités de messages légitimes, indésirables et frauduleux.
Une signature DKIM correctement configurée fournit ainsi un signal de confiance technique supplémentaire.
À lui seul, DKIM ne garantit certes pas qu'un message arrive dans la boîte de réception. Cependant, associé à une configuration d'envoi propre, à SPF, à DMARC et à une bonne réputation d'expéditeur, il contribue à une infrastructure d'e-mails professionnelle.
Qu'est-ce que DMARC ?
DMARC représente Domain-based Message Authentication, Reporting and Conformance.
DMARC s'appuie sur SPF et DKIM et les complète par des règles et des fonctionnalités de rapport.
Le propriétaire du domaine peut définir via un enregistrement DMARC comment les systèmes récepteurs doivent traiter les messages pour lesquels les contrôles d'authentification prévus et l'association requise avec le domaine de l'expéditeur ne sont pas remplis.
DMARC répond ainsi de manière simplifiée à la question :
„ Que doit-il se passer si un message ne réussit pas correctement les contrôles prévus ? “
Les trois politiques DMARC possibles
DMARC connaît essentiellement trois politiques :
- p=aucun – observer, sans demander le traitement du message en raison de la politique DMARC
- p=quarantaine – les messages échoués doivent par exemple être traités comme suspects
- p=rejeter – Les messages qui échouent à la vérification DMARC doivent être rejetés
C'est particulièrement vrai pour DMARC qu'il ne faut pas activer le paramètre le plus strict sans vérification préalable.
Une entreprise peut potentiellement envoyer des e-mails non seulement via son serveur de messagerie habituel, mais aussi via :
- Systèmes de bulletins d'information
- Logiciel CRM
- Boutiques en ligne
- Formulaires de contact
- Système de support
- services cloud externes
Si ces sources d'expédition légitimes ne sont pas prises en compte, vos propres e-mails peuvent rencontrer des problèmes d'authentification.
SPF, DKIM et DMARC en interaction
Les trois méthodes remplissent des fonctions différentes et ne doivent donc pas être considérées comme des alternatives.
- FPS Quels systèmes sont autorisés à envoyer des e-mails pour le domaine ?
- DKIM : Le message comporte-t-il une signature numérique vérifiable ?
- DMARC : Est-ce que l'authentification et le domaine de l'expéditeur correspondent conformément aux règles DMARC et comment faut-il procéder en cas d'erreur ?
C'est précisément cette interaction qui crée une base nettement meilleure pour distinguer les messages légitimes des e-mails envoyés de manière abusive au nom d'un domaine.
Que signifie l'alignement DMARC ?
Un élément important de DMARC est ce que l'on appelle Alignement.
Cela permet de vérifier de manière simplifiée si les domaines utilisés pour SPF ou DKIM correspondent au domaine que le destinataire voit comme expéditeur.
C'est important, car un message peut techniquement réussir un contrôle SPF ou DKIM sans que cette authentification n'appartienne réellement au domaine d'expédition visible.
DMARC associe par conséquent les vérifications techniques au domaine qui apparaît comme l'expéditeur auprès du destinataire.
Rapports DMARC : voir qui envoie des e-mails au nom de votre domaine
Un composant particulièrement intéressant de DMARC est constitué par les possibilités de rapports.
Les propriétaires de domaines peuvent recevoir des rapports DMARC dits agrégés. Ceux-ci fournissent des informations sur les systèmes qui envoient des e-mails en utilisant le domaine et sur les résultats des contrôles SPF et DKIM.
Cela peut aider :
- découvrir des services d'expédition légitimes oubliés
- Détecter les erreurs de configuration
- rendre visibles les sources d'expédition inconnues
- préparer de manière contrôlée une politique DMARC plus stricte
DMARC ne devrait donc idéalement pas être simplement configuré puis oublié.
Est-ce que SPF, DKIM et DMARC améliorent la délivrabilité des e-mails ?
Une authentification correcte est un élément important de la délivrabilité professionnelle des e-mails. Elle ne garantit cependant pas que chaque message atterrisse dans la boîte de réception.
Les fournisseurs de messagerie prennent en compte de nombreux autres facteurs, par exemple :
- Réputation du serveur d'envoi
- Réputation du domaine
- Comportement et volume d'expédition
- Contenu du message
- Réactions des destinataires
SPF, DKIM et DMARC constituent ainsi une base technique importante, mais ne remplacent pas une infrastructure de messagerie globalement saine.
Nous vous expliquons cela plus en détail dans l'article Sécurité et délivrabilité des e-mails pour les PME .
Est-ce que SPF, DKIM et DMARC protègent contre le spam et le phishing ?
Une distinction importante s'impose ici.
SPF, DKIM et DMARC contribuent en particulier à rendre plus difficile l'utilisation abusive d'un domaine comme fausse identité d'expéditeur et à fournir aux systèmes de réception des informations supplémentaires pour évaluer un message.
Cependant, ils n'empêchent pas toutes les formes de hameçonnage.
Par exemple, un attaquant peut enregistrer son propre domaine d'apparence similaire et en envoyer des e-mails techniquement authentifiés de manière correcte.
C'est pourquoi des mécanismes de protection supplémentaires sont nécessaires. Un filtre anti-spam professionnel analyse les messages entrants selon d'autres critères.
Nous expliquons le fonctionnement de cette couche de protection supplémentaire dans notre guide SpamExperts : comment fonctionne une protection professionnelle contre le spam et le hameçonnage .
Le domaine est le fondement de la sécurité des e-mails
SPF, DKIM et DMARC se configurent via les enregistrements DNS de son propre domaine.
Cela montre une fois de plus à quel point le domaine et l'e-mail sont techniquement liés.
Des paramètres DNS incorrects peuvent non seulement nuire à un site web, mais aussi avoir un impact direct sur la communication par e-mail.
Vous trouverez les bases de cela dans l'article Domaine & E-Mail – pourquoi ces deux éléments sont indissociables .
Erreurs courantes avec SPF, DKIM et DMARC
En pratique, des erreurs de configuration similaires se produisent régulièrement.
- plusieurs enregistrements SPF indépendants
- services d'expédition externes oubliés
- les systèmes qui ne sont plus nécessaires restent inclus dans l'enregistrement SPF
- DKIM a été activé chez le fournisseur, mais n'a pas été configuré correctement dans le DNS.
- DMARC est configuré trop rapidement sur une politique stricte
- Les rapports DMARC sont configurés mais ne sont pas analysés
- Les modifications apportées aux serveurs de messagerie sont effectuées sans modification des enregistrements DNS
Il est judicieux de faire un état des lieux avant d'apporter des modifications, en particulier dans les entreprises qui utilisent plusieurs systèmes pour l'envoi d'e-mails.
Pourquoi la gestion centralisée simplifie les choses
Des problèmes surviennent souvent lorsque le nom de domaine, le DNS, l'hébergement et la messagerie électronique sont gérés par des prestataires différents.
En cas d'erreur, la recherche des responsabilités commence alors rapidement : est-ce le serveur de messagerie qui pose problème ? Le fournisseur DNS ? Le domaine ? Le système de newsletter ? Ou le site web ?
Une administration coordonnée réduit ces interfaces et facilite tant la mise en place que le dépannage ultérieur.
Vous trouverez des informations sur les solutions de messagerie électronique de CURIAWEB sur : Services de messagerie et sécurité des e-mails .
Conclusion : SPF, DKIM et DMARC vont de pair
SPF, DKIM et DMARC semblent à première vue être trois abréviations techniques compliquées. Le principe de base reste cependant compréhensible.
FPS définit les sources d'expédition autorisées, DKIM ajoute aux e-mails une signature vérifiable et DMARC associe ces méthodes au domaine de l'expéditeur visible et définit la gestion des erreurs.
Ensemble, ils constituent une base importante pour la communication moderne par e-mail professionnel. Ils rendent plus difficile l'abus de son propre domaine, soutiennent la crédibilité technique des messages légitimes et offrent des possibilités de contrôle supplémentaires avec DMARC.
Cependant, ils ne remplacent ni un filtre anti-spam professionnel, ni des identifiants sécurisés, ni une manipulation prudente des messages suspects.
La sécurité de la messagerie fonctionne le mieux lorsque le domaine, le DNS, l'authentification, le filtrage des spams et les comptes d'utilisateurs sont considérés comme un système cohérent.
