Le problème que ces trois enregistrements résolvent
Le courrier électronique a été conçu sans authentification. À l'origine, n'importe quel serveur pouvait envoyer un message en prétendant être n'importe qui, exactement comme on écrit ce qu'on veut au dos d'une enveloppe.
Deux conséquences directes pour une entreprise :
- On peut usurper votre identité. Un escroc envoie une fausse facture qui semble venir de votre adresse, à vos propres clients. C'est la fraude au président et au faux fournisseur, et elle commence presque toujours par un domaine non protégé.
- Vos vrais messages sont suspects. Faute de pouvoir vérifier que vous êtes bien vous, les messageries appliquent le doute et vous classent en indésirables.
SPF, DKIM et DMARC comblent ce trou. Ce sont trois lignes de texte publiées dans votre zone DNS, chez votre hébergeur ou votre bureau d'enregistrement. Elles ne coûtent rien.
SPF : la liste des expéditeurs autorisés
SPF publie la liste des serveurs autorisés à envoyer du courrier pour votre domaine. Votre messagerie professionnelle, votre outil d'emailing, votre site qui envoie des formulaires.
Ce qui compte, au delà de sa simple présence, c'est la façon dont il se termine :
- -all signifie : tout serveur hors de cette liste est un imposteur, rejetez-le. C'est la position stricte.
- ~all signifie : marquez-le comme douteux mais laissez passer. C'est la position souple, la plus courante, et un compromis raisonnable tant que vous n'êtes pas certain d'avoir recensé tous vos expéditeurs.
- +all autorise tout le monde. C'est l'équivalent de ne rien publier, et on le rencontre plus souvent qu'on ne le croit.
Piège classique : SPF a une limite de dix résolutions DNS. Un enregistrement qui empile cinq outils différents la dépasse silencieusement, et l'ensemble cesse de fonctionner sans le moindre message d'erreur.
DKIM : la signature de vos messages
DKIM ajoute une signature cryptographique à chaque message sortant. Le serveur qui reçoit récupère votre clé publique dans votre DNS et vérifie la signature. Si elle correspond, deux choses sont prouvées : le message vient bien de vous, et il n'a pas été modifié en route.
Contrairement à SPF, DKIM survit aux transferts : un message relayé garde sa signature valide. C'est ce qui en fait le plus solide des trois.
Sa mise en place se fait presque toujours depuis l'interface de votre fournisseur de messagerie, qui vous donne un enregistrement à copier. La difficulté, quand il y en a une, vient des expéditeurs oubliés : votre logiciel de facturation, votre outil de newsletter, votre plateforme de prise de rendez-vous. Chacun a besoin de sa propre signature.
DMARC : la consigne, et l'erreur qui le rend inutile
DMARC répond à la question que les deux autres laissent ouverte : que faire d'un message qui échoue aux vérifications ? Trois réponses possibles :
- p=none : ne rien faire, se contenter d'envoyer des rapports. C'est le mode observation.
- p=quarantine : mettre en indésirables.
- p=reject : refuser le message.
Voici l'erreur la plus fréquente que nous mesurons : un domaine publie DMARC en p=none, et personne n'y revient jamais. L'enregistrement est là, un outil de vérification affiche une coche verte, et pourtant aucune usurpation n'est bloquée. Le mode observation est une étape de transition, utile quelques semaines, pas une destination.
La marche à suivre est simple : publier en p=none, lire les rapports pendant deux à quatre semaines pour identifier vos expéditeurs légitimes oubliés, puis passer en quarantine, puis en reject. Durcir trop vite, c'est risquer de bloquer ses propres factures.
Les trois compléments qui suivent
Une fois le trio en place, trois réglages moins connus deviennent accessibles, et notre audit les mesure aussi :
- MTA-STS impose que le courrier qui vous est adressé voyage chiffré, ce qui bloque une interception par abaissement de protocole.
- TLS-RPT vous fait remonter un rapport quand ce chiffrement échoue.
- BIMI affiche votre logo dans la boîte de réception de vos destinataires. Il exige DMARC en quarantine ou reject : c'est la récompense visible du travail précédent, et un signal de marque que vos concurrents n'ont probablement pas.
Ce que notre audit mesure exactement
Neuf vérifications, toutes faites depuis l'extérieur sur vos enregistrements publics : présence de SPF et solidité de sa terminaison, présence d'une signature DKIM sur les sélecteurs courants, présence de DMARC et solidité de sa politique, MTA-STS, TLS-RPT, BIMI, et vos serveurs de réception.
Nous ne mesurons rien que votre destinataire ne puisse vérifier lui-même, ce qui rend chaque constat rejouable. C'est le principe de notre méthodologie, et c'est ce qui distingue un constat opposable d'une opinion.
Si vos emails partent en indésirables, commencez par là avant de réécrire vos objets de message. Et si votre site sort mal ailleurs, notre guide de la sécurité d'un site présente les trois autres chantiers.