SPF, DKIM et DMARC expliqués : empêchez l’usurpation de votre domaine

01Le problème : l’e-mail n’a pas de vérification d’identité intégrée

Le système de messagerie d’origine permet à l’expéditeur d’écrire n’importe quelle adresse dans la ligne « De ». Les attaquants s’en servent pour envoyer de fausses factures, des réinitialisations de mot de passe et des demandes « urgentes » qui semblent venir de votre entreprise. Les messages ne sont pas piratés depuis vos serveurs, ils sont simplement falsifiés.

Trois enregistrements DNS comblent cette faille. Vous les ajoutez une fois chez votre fournisseur DNS, et les serveurs de réception comme Gmail et Outlook les vérifient à chaque message.

02SPF : qui peut envoyer en votre nom

SPF est une liste des serveurs autorisés à envoyer des e-mails pour votre domaine. C’est un seul enregistrement TXT sur le domaine lui-même.

v=spf1 include:_spf.mx.cloudflare.net -all

Lisez de gauche à droite : utiliser la version 1 de SPF, faire confiance à ce que liste l’include, et -all signifie « rejeter tous les autres ». ~all est la version plus souple, qui marque les autres e-mails comme suspects au lieu de les rejeter.

03DKIM : une signature sur chaque message

Avec DKIM, votre fournisseur de messagerie signe chaque message sortant avec une clé privée. La clé publique correspondante se trouve dans votre DNS, de sorte que le destinataire peut vérifier que le message n’a pas été modifié et qu’il est bien passé par votre fournisseur. Vous n’écrivez normalement pas cet enregistrement vous-même : votre fournisseur vous donne le nom et la valeur exacts à coller.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...

04DMARC : la politique qui relie le tout

DMARC indique aux destinataires quoi faire lorsqu’un message échoue aux vérifications SPF et DKIM alignées avec le domaine « De » visible, et où envoyer les rapports correspondants.

v=DMARC1; p=none; rua=mailto:reports@example.com

• p=none : observer et envoyer des rapports uniquement. Rien n’est bloqué.
• p=quarantine : les e-mails suspects vont dans les spams.
• p=reject : les e-mails falsifiés sont complètement refusés.

05Vérifiez votre propre domaine

Saisissez votre domaine ci-dessous. La vérification s’exécute dans votre navigateur sur le DNS public, rien n’est enregistré.

06Un plan de déploiement sûr

1. Ajoutez ou corrigez votre enregistrement SPF avec ~all.
2. Activez DKIM chez votre fournisseur de messagerie et publiez l’enregistrement qu’il vous donne.
3. Ajoutez DMARC avec p=none et une adresse de rapports que vous lisez.
4. Après deux à quatre semaines de rapports propres, passez à p=quarantine.
5. Quand vous êtes confiant, passez à p=reject et changez SPF en -all.