Authentification des e-mails : déployer DMARC, SPF et DKIM pour sécuriser sa messagerie

L'e-mail du directeur financier semblait parfaitement légitime : même nom, même signature, même domaine. La demande urgente de virement paraissait inhabituelle, mais l'équipe finance s'est exécutée. Quelques heures plus tard, le véritable directeur financier a nié avoir envoyé quoi que ce soit. Les attaquants avaient usurpé le domaine de l'entreprise, et 450 000 dollars s'étaient volatilisés. L'authentification des e-mails aurait pu bloquer cette attaque avant même qu'elle n'atteigne la boîte de réception.

Pourquoi l'authentification des e-mails est essentielle

L'e-mail a été conçu sans mécanisme natif de vérification de l'expéditeur. N'importe qui peut prétendre écrire depuis n'importe quel domaine. Cette faiblesse fondamentale rend possible :

• La fraude au président (BEC, Business Email Compromise) : se faire passer pour un dirigeant afin d'autoriser des transactions frauduleuses.
• Les attaques de phishing : usurper des marques de confiance pour dérober des identifiants.
• L'atteinte à la marque : des criminels utilisent votre domaine pour du spam et des arnaques.
• Les problèmes de délivrabilité : les e-mails non authentifiés sont de plus en plus bloqués par les fournisseurs.

Les protocoles d'authentification — SPF, DKIM et DMARC — répondent à ces vulnérabilités.

Comprendre le triptyque de l'authentification

SPF (Sender Policy Framework)

SPF indique quels serveurs de messagerie sont autorisés à envoyer des e-mails pour votre domaine.

Fonctionnement :

1. Le propriétaire du domaine publie un enregistrement SPF dans le DNS.
2. L'enregistrement liste les adresses IP émettrices autorisées.
3. Le serveur destinataire vérifie que l'IP de l'expéditeur correspond à l'enregistrement SPF.
4. Les messages provenant d'IP non autorisées peuvent être rejetés ou signalés.

Exemple d'enregistrement SPF :

v=spf1 ip4:192.168.1.0/24 include:_spf.google.com -all

Limites :

• Ne valide que l'expéditeur d'enveloppe (Return-Path), pas l'en-tête From visible par l'utilisateur.
• Casse lorsque l'e-mail est transféré.
• L'approche fondée sur les IP passe mal à l'échelle avec les services cloud.

DKIM (DomainKeys Identified Mail)

DKIM ajoute une signature numérique aux e-mails sortants, prouvant que le message n'a pas été altéré.

Fonctionnement :

1. Le serveur émetteur signe l'e-mail avec une clé privée.
2. La clé publique est publiée dans le DNS pour permettre la vérification.
3. Le serveur destinataire vérifie la signature à l'aide de la clé publique.
4. Une signature invalide révèle une altération ou une usurpation.

Exemple d'enregistrement DKIM :

selector._domainkey.example.com TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSq..."

Avantages :

• Résiste au transfert (la signature reste attachée au message).
• Valide l'intégrité du message, et pas seulement l'expéditeur.
• Prend en charge plusieurs domaines de signature et sélecteurs.

DMARC (Domain-based Message Authentication, Reporting, and Conformance)

DMARC articule SPF et DKIM et indique aux serveurs destinataires la conduite à tenir en cas d'échec.

Fonctionnement :

1. Le propriétaire du domaine publie une politique DMARC dans le DNS.
2. La politique précise le traitement des échecs d'authentification.
3. Les serveurs destinataires envoient des rapports sur les résultats d'authentification.
4. Le propriétaire du domaine gagne en visibilité et en contrôle sur ses e-mails.

Exemple d'enregistrement DMARC :

_dmarc.example.com TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.com; pct=100"

Options de politique :

• none : surveillance uniquement, sans effet sur la délivrance.
• quarantine : les échecs sont dirigés vers le dossier spam.
• reject : les messages qui échouent à l'authentification sont bloqués.

Mettre en œuvre l'authentification des e-mails

Phase 1 : découverte et évaluation

Avant tout déploiement, cartographiez votre écosystème de messagerie :

1. Inventoriez toutes les sources d'envoi : plateformes marketing, CRM, outils de ticketing, applications.
2. Documentez les expéditeurs légitimes : IP et services autorisés à envoyer au nom de votre domaine.
3. Auditez les enregistrements existants : vérifiez les configurations SPF, DKIM et DMARC en place.
4. Établissez une base de référence : délivrabilité actuelle et taux d'authentification.

Phase 2 : déploiement de SPF

Déployez les enregistrements SPF méthodiquement :

1. Listez tous les expéditeurs autorisés : compilez les adresses IP et les mécanismes include.
2. Créez l'enregistrement SPF : construisez un enregistrement couvrant toutes les sources légitimes.
3. Testez avant publication : validez la syntaxe et la couverture.
4. Publiez l'enregistrement : ajoutez l'enregistrement TXT au DNS.
5. Surveillez les résultats : guettez les problèmes de délivrance liés à des expéditeurs oubliés.

Bonnes pratiques :

• Restez sous la barre des 10 résolutions DNS pour éviter les échecs.
• Utilisez d'abord ~all (softfail), puis passez à -all (hardfail).
• Auditez régulièrement et supprimez les instructions include inutilisées.

Phase 3 : déploiement de DKIM

Configurez la signature DKIM :

1. Générez les paires de clés : créez les clés privée et publique.
2. Publiez la clé publique : ajoutez l'enregistrement DKIM au DNS.
3. Configurez la signature : activez DKIM sur les serveurs de messagerie et les services tiers.
4. Testez la signature : vérifiez que les e-mails sont correctement signés.
5. Surveillez la validation : suivez les taux de réussite DKIM.

Bonnes pratiques :

• Utilisez des clés de 2048 bits au minimum.
• Mettez en place des procédures de rotation des clés.
• Configurez DKIM sur l'ensemble des services émetteurs.

Phase 4 : déploiement de DMARC

Déployez DMARC progressivement :

1. Commencez par la surveillance : p=none pour collecter des rapports sans impacter la délivrance.
2. Analysez les rapports : identifiez les expéditeurs légitimes qui échouent à l'authentification.
3. Corrigez les problèmes d'authentification : mettez à jour SPF et DKIM pour les sources identifiées.
4. Renforcez l'application : passez à p=quarantine, puis à p=reject.
5. Maintenez la surveillance dans la durée : continuez d'exploiter les rapports.

Composants d'un enregistrement DMARC :

• p : politique appliquée au domaine organisationnel.
• sp : politique appliquée aux sous-domaines.
• rua : adresse de réception des rapports agrégés.
• ruf : adresse de réception des rapports forensiques.
• pct : pourcentage de messages auxquels appliquer la politique.

Exploiter les rapports DMARC

Rapports agrégés (RUA)

Synthèses quotidiennes indiquant :

• Le volume d'e-mails émis depuis votre domaine.
• Les taux de réussite et d'échec de l'authentification.
• Les adresses IP émettrices.
• Les politiques effectivement appliquées.

Rapports forensiques (RUF)

Rapports d'échec individuels comprenant :

• Les en-têtes complets du message.
• Les résultats d'authentification.
• Les motifs précis de l'échec.

Remarque : de nombreux destinataires n'envoient pas de rapports forensiques pour des raisons de confidentialité.

Difficultés courantes de mise en œuvre

Expéditeurs tiers

De nombreux services envoient des e-mails en votre nom :

• Plateformes marketing : Mailchimp, HubSpot, Marketo.
• Services transactionnels : SendGrid, Mailgun, AWS SES.
• CRM : Salesforce, Zoho.
• Plateformes de support : Zendesk, Freshdesk.

Solutions :

• Ajoutez leurs serveurs à vos enregistrements SPF.
• Configurez la signature DKIM avec votre domaine.
• Utilisez la délégation par sous-domaine pour simplifier la gestion.

Transferts et listes de diffusion

Le transfert d'e-mails casse SPF :

• L'IP de l'expéditeur d'origine ne correspond plus.
• Le message transféré échoue au contrôle SPF.

Solutions :

• Appuyez-vous sur DKIM (qui résiste au transfert).
• Déployez ARC (Authenticated Received Chain) sur les services de transfert.

Systèmes hérités

Les systèmes anciens ne prennent pas toujours en charge l'authentification moderne :

• Applications internes émettrices d'e-mails.
• Équipements hérités comme les imprimantes et les scanners.
• Systèmes on-premise dépourvus de capacité DKIM.

Solutions :

• Faites transiter les flux par un relais authentifié.
• Utilisez un sous-domaine dédié avec une politique assouplie.
• Planifiez la mise à niveau de ces systèmes.

Comment isMalicious peut vous aider

isMalicious complète l'authentification des e-mails par la threat intelligence :

• Surveillance de domaines : détectez les domaines sosies qui usurpent votre marque.
• Détection de phishing : identifiez les domaines enregistrés pour mener des campagnes de phishing en votre nom.
• Réputation d'IP : vérifiez si les IP émettrices sont associées à une activité malveillante.
• Alertes en temps réel : soyez notifié dès qu'un nouveau domaine proche du vôtre apparaît.
• Intégration API : automatisez la surveillance de domaines dans votre dispositif de protection de marque.

Au-delà de l'authentification : protections complémentaires

BIMI (Brand Indicators for Message Identification)

Affichez votre logo à côté des e-mails authentifiés :

• Exige un DMARC en mode contraignant (quarantine ou reject).
• Renforce la reconnaissance de la marque et la confiance.
• Constitue une incitation forte à aller au bout de l'authentification.

MTA-STS (SMTP MTA Strict Transport Security)

Imposez un transport chiffré des e-mails :

• Prévient les attaques par rétrogradation lors de la délivrance.
• Garantit le chiffrement TLS entre serveurs de messagerie.
• Complète l'authentification par une sécurité au niveau du transport.

TLS Reporting (TLS-RPT)

Recevez des rapports sur les échecs de connexion TLS :

• Identifiez les problèmes de délivrance liés aux certificats.
• Surveillez les tentatives d'interception.
• Complétez le déploiement de MTA-STS.

Mesurer les résultats

Suivez les indicateurs clés :

• Taux de réussite de l'authentification : pourcentage d'e-mails validés par SPF, DKIM et DMARC.
• Délivrabilité : e-mails effectivement remis aux destinataires visés.
• Tentatives d'usurpation : volume d'échecs d'authentification provenant d'expéditeurs non autorisés.
• Couverture des rapports : réception effective des rapports des principaux fournisseurs.

Sécurisez le domaine de votre messagerie

L'e-mail reste un vecteur d'attaque majeur, et l'usurpation de domaine rend possibles certaines des attaques les plus coûteuses. Déployer SPF, DKIM et DMARC protège votre organisation et vos partenaires contre l'usurpation d'identité par e-mail. Combinée à la surveillance de domaines d'isMalicious, cette démarche vous permet de détecter aussi bien l'usurpation technique que les attaques par domaines sosies.

Lancez votre chantier d'authentification dès aujourd'hui. Commencez par SPF, ajoutez DKIM, déployez DMARC en mode surveillance, puis renforcez progressivement l'application de la politique. La réputation de votre domaine — et la sécurité de vos parties prenantes — en dépend.