Technique
DMARC, SPF et DKIM
Aussi appeléDMARCSPFDKIMAuthentification des e-mails
En résumé
Trois mécanismes complémentaires qui permettent à un destinataire de vérifier qu’un e-mail vient bien du domaine affiché. SPF liste les serveurs autorisés à envoyer, DKIM signe le message, et DMARC fixe la politique à appliquer (aucune, quarantaine, rejet) et envoie des rapports au propriétaire du domaine.
DMARC, SPF et DKIM, en détail
SPF (RFC 7208) est un enregistrement DNS qui énumère les serveurs et services autorisés à envoyer des messages pour un domaine ; le destinataire compare l’adresse du serveur d’envoi à cette liste, et la spécification limite à dix le nombre de résolutions DNS qu’un enregistrement peut déclencher. DKIM (RFC 6376) ajoute une signature cryptographique dans l’en-tête du message, vérifiable avec une clé publique publiée dans le DNS. DMARC (RFC 7489) exige que le domaine visible par l’utilisateur, celui du champ « From », soit aligné avec le domaine validé par SPF ou DKIM, et indique quoi faire des échecs.
Le déploiement se fait par paliers : politique « none » pour observer, lecture des rapports agrégés, déclaration de chaque expéditeur légitime (outil de facturation, marketing, application métier), puis « quarantine » et « reject ». Les domaines qui n’envoient jamais d’e-mail méritent aussi une politique de rejet. La limite à connaître : ces mécanismes empêchent l’usurpation exacte de votre domaine, pas celle d’un domaine voisin, ni l’envoi depuis un compte légitime compromis.
Qu’est-ce que cela change pour vous ?
Un domaine sans DMARC en rejet peut être imité à l’identique dans une fraude au président ou une fausse facture. Les clients et les fournisseurs sont alors piégés par un e-mail qui porte votre nom, ce qui abîme votre réputation autant que leurs comptes.
Exemple illustratif (fictif)
Par exemple, un fournisseur de logiciels découvre, par les rapports DMARC, qu’un ancien outil de relance envoie encore des e-mails en son nom depuis un serveur qu’il ne maîtrise plus. Il le déclare ou le coupe, puis passe son domaine en quarantaine, puis en rejet.
La confusion fréquente
Publier un enregistrement DMARC en « none » et considérer le sujet réglé. Cette politique ne bloque rien, elle ne fait que produire des rapports.
Comment le détecter chez vous ?
- Sécurité de la messagerie : la prestationEmpêcher qu’on écrive en votre nom, et filtrer ce qui arrive chez vos salariés.
Aller plus loin
- ArticleLire un rapport de scan de vulnérabilités : ce qu’il prouve et ce qu’il rateUn rapport de scan est une liste de candidats, pas de faits : faux positifs, gravité hors contexte, zones non atteintes. Comment le lire et le vérifier.
- ArticleRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- ComparatifScan ou test d’intrusion : lequel choisir, critère par critère ?Un scan automatisé et un test d’intrusion portent des noms proches, mais ne répondent pas à la même question et ne coûtent pas le même prix. Critères, situations et erreur d’achat la plus fréquente.
Termes liés
- AttaqueHameçonnage : définitionUne technique de fraude qui se fait passer pour un tiers de confiance, par courriel, SMS, appel ou site factice, afin d’amener la victime à révéler des identifiants, ouvrir une pièce jointe piégée ou effectuer une action.
- AttaqueIngénierie sociale : définitionL’ensemble des méthodes qui exploitent le comportement humain plutôt qu’une faille technique pour obtenir un accès, une information ou une action.
- MéthodeSimulation de phishing : définitionUn exercice où une organisation envoie à ses salariés de faux messages d’hameçonnage, dans un cadre convenu, pour mesurer leur réaction et entraîner le réflexe de signalement.
- TechniqueZero-day : définitionUne vulnérabilité inconnue de l’éditeur ou du fabricant, ou sans correctif disponible, et que des attaquants peuvent exploiter avant qu’une protection officielle existe.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début