La délivrabilité des courriels repose désormais sur trois protocoles complémentaires : SPF, DKIM et DMARC. Cette configuration sert la sécurité email, la validation du domaine et la protection contre le phishing au quotidien.
De nombreuses organisations subissent des pertes de réputation quand des tiers usurpent leurs noms de domaine pour envoyer des spams. La suite propose un encadré synthétique sous la mention A retenir :.
A retenir :
- Renforcement de la délivrabilité des courriels pour boîtes principales
- Protection contre le phishing et l’usurpation d’identité de domaine
- Visibilité via rapports DMARC pour détection des envois non autorisés
- Meilleure réputation d’expéditeur et réduction des risques de blacklisting
SPF expliqué pour la délivrabilité et la validation du domaine
Après l’encadré, examinons le rôle du SPF pour la validation du domaine et la délivrabilité des messages. Le SPF compare l’adresse IP d’envoi au champ Return-Path pour autorisation et filtrage.
Élément
Fonction
Exemple
Conséquence
Champ vérifié
Return-Path plutôt que From
Return-Path utilisé
Réduction du spoofing
Syntaxe
Enregistrement TXT v=spf1
v=spf1 include:_spf.google.com -all
Liste des émetteurs autorisés
Mécanismes
ip4/ip6/include/redirect
ip4:1.2.3.4 include:_spf.google.com
Limite des lookups
Comportement
Soft-fail et Hard-fail
-all ou ~all
Quarantaine ou rejet
Points techniques essentiels :
- Identifier tous les serveurs d’envoi tiers
- Rassembler les adresses IP publiques utilisées
- Utiliser include pour services Cloud et SaaS
- Tester après chaque modification DNS
« J’ai commencé par inventorier les services tiers et corrigé le SPF sans interruption de service. »
Alice N.
Pour configurer un SPF efficace, commencez par inventorier tous les expéditeurs et services. Publiez un seul enregistrement TXT et privilégiez le -all après phase de test.
Configurer un enregistrement SPF correct
Pour configurer un SPF efficace, commencez par inventorier tous les expéditeurs et services. Publiez un seul enregistrement TXT et privilégiez le -all après phase de test.
Limites connues et bonnes pratiques
Le SPF reste limité par le nombre de requêtes DNS et par l’usage du Return-Path. Selon MxToolbox, il est essentiel de surveiller les lookups et d’optimiser les include. Ce constat appelle l’ajout d’une signature cryptographique par DKIM pour renforcer l’authentification.
DKIM et signatures pour l’authentification email
Suite au SPF, le DKIM apporte une signature cryptographique garantissant l’intégrité des messages. La clé publique est publiée dans un enregistrement TXT nommé selector._domainkey pour vérification.
Génération des clés et enregistrement DNS
Pour DKIM, générez une paire de clés RSA et conservez la clé privée sur le serveur d’envoi. Privilégiez une longueur de clé de 2048 bits lorsque le fournisseur le permet pour une sécurité accrue.
Élément
Rôle
Exemple
Remarque
Sélecteur
Localiser la clé publique
selector1._domainkey
Permet rotation des clés
Enregistrement
TXT contenant p=clé publique
v=DKIM1; k=rsa; p=…
Diviser si >255 caractères
Algorithme
RSA utilisé pour la signature
k=rsa
2048 recommandé
Vérification
Serveur destinataire récupère la clé DNS
Validation de signature
Échec = suspicion
Bonnes pratiques DKIM :
- Utiliser 2048 bits pour la clé publique
- Renouveler les clés périodiquement sans interruption
- Activer la signature pour tous les flux sortants
- Tester la validation après chaque changement DNS
« J’ai déployé DKIM sur nos services cloud et constaté moins de falsifications. »
Marc N.
Interopérabilité fournisseurs et tests
La configuration varie selon Google Workspace, Microsoft 365 et autres fournisseurs, à vérifier via leur documentation. Selon Cloudflare, la publication correcte des enregistrements DNS est cruciale pour l’authentification et la délivrabilité. Cette signature requiert un mécanisme d’application et de reporting, précisément fourni par DMARC.
DMARC pour la surveillance et l’application des politiques
Enfin, le DMARC coordonne les résultats du SPF et du DKIM pour décider du sort des messages. Il permet aussi d’obtenir des rapports agrégés afin de surveiller l’usage du domaine et les tentatives d’abus.
Politiques DMARC et alignements
Le DMARC propose trois niveaux de politique : none, quarantine et reject, pour ajuster la sévérité. Selon Google Postmaster, démarrer en mode ‘none’ facilite l’audit avant le passage à un rejet strict.
Paramètres essentiels DMARC :
- p=none pour phase d’audit et collecte de rapports
- p=quarantine pour marquer les messages suspects
- p=reject pour bloquer les envois non conformes
- rua=mailto: pour centraliser les rapports RUA
« Nos rapports DMARC ont révélé des sources inattendues et permis des corrections rapides. »
Sébastien N.
Rapports RUA et surveillance opérationnelle
Les rapports rua fournissent des données agrégées qui aident à repérer les envois non conformes et les erreurs. Pour exploiter ces rapports, des outils comme parsedmarc facilitent l’analyse et la remédiation des problèmes constatés.
Actions de surveillance :
- Collecter les rapports RUA et consolider les fichiers
- Analyser les anomalies d’alignement SPF et DKIM
- Ajuster les enregistrements DNS en conséquence
- Migrer progressivement vers p=reject si sûr
« DMARC impose une discipline qui protège la marque et améliore la délivrabilité. »
Sophie N.