SPF, DKIM et DMARC expliqués : bloquer l'usurpation et arriver en boîte de réception

• SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine.
• DKIM signe chaque message ; la clé publique de vérification est publiée dans le DNS.
• DMARC indique aux destinataires quoi faire quand SPF et DKIM échouent et vous envoie des rapports. Il ne réussit que si le domaine de l'adresse De visible correspond.
• Commencez par p=none, lisez les rapports, puis passez à quarantine et reject quand tous les expéditeurs légitimes réussissent.

Depuis février 2024, Gmail et Yahoo exigent SPF ou DKIM de tout expéditeur. Les expéditeurs en masse (plus de 5 000 messages par jour vers des adresses Gmail selon Google) doivent avoir SPF, DKIM et un enregistrement DMARC (p=none suffit), un domaine De aligné sur SPF ou DKIM, un désabonnement en un clic pour les e-mails marketing et un taux de plaintes pour spam inférieur à 0,3 %.

Même si vous envoyez peu, des enregistrements manquants rendent votre domaine facile à usurper dans des campagnes d'hameçonnage, et les destinataires font moins confiance aux messages de ces domaines.

SPF est un unique enregistrement TXT sur votre domaine qui commence par v=spf1, liste les expéditeurs autorisés et se termine par une règle pour tous les autres. include: reprend la liste d'un fournisseur, ip4:/ip6: ajoutent vos propres serveurs et mx autorise les serveurs MX du domaine.

• Publiez exactement un enregistrement SPF. Deux enregistrements v=spf1 font échouer SPF (permerror) : fusionnez-les.
• SPF peut déclencher au plus 10 requêtes DNS (chaque include, a, mx, exists et redirect compte, y compris imbriqués). Au-delà, SPF échoue ; supprimez les include inutilisés.
• -all (fail) demande de rejeter les expéditeurs non listés, ~all (softfail) de les traiter comme suspects. Avec DMARC, ~all est courant et sûr.
• SPF vérifie l'expéditeur d'enveloppe (Return-Path), pas l'adresse De visible, et il casse lors des transferts. C'est pourquoi DKIM est aussi nécessaire.

Le serveur d'envoi signe les en-têtes et le corps avec une clé privée ; le destinataire récupère la clé publique sur selecteur._domainkey.example.fr et vérifie la signature. Le sélecteur est un nom choisi par votre fournisseur (google, selector1, s1, k1…), si bien que chaque service a sa propre clé.

Activez DKIM dans chaque service qui envoie pour vous (messagerie, outil de newsletter, CRM, boutique en ligne) et publiez l'enregistrement fourni, souvent un TXT ou un CNAME. Utilisez des clés de 2048 bits quand c'est possible. DKIM résiste aux transferts, ce qui en fait la moitié la plus fiable pour DMARC.

DMARC se trouve sur _dmarc.example.fr. Un message réussit DMARC quand SPF ou DKIM réussit et que le domaine vérifié correspond (est aligné) au domaine de l'adresse De. Un fournisseur qui signe avec son propre domaine n'aide pas tant que vous n'avez pas configuré DKIM pour le vôtre.

rua=mailto: demande aux destinataires des rapports agrégés quotidiens (XML) indiquant quels serveurs ont envoyé au nom de votre domaine et s'ils ont réussi. Ces rapports permettent de retrouver les expéditeurs oubliés avant de durcir la politique.

• Recensez tout ce qui envoie des e-mails au nom de votre domaine : boîtes aux lettres, formulaires du site, newsletter, facturation, support.
• Publiez un seul enregistrement SPF qui les couvre tous et activez DKIM dans chacun.
• Ajoutez v=DMARC1; p=none; rua=mailto:… et lisez les rapports pendant deux à quatre semaines.
• Corrigez chaque expéditeur légitime en échec, puis passez à p=quarantine (progressivement avec pct= si vous le souhaitez) et ensuite à p=reject.
• Les domaines qui n'envoient jamais d'e-mails devraient publier v=spf1 -all et v=DMARC1; p=reject pour que personne ne puisse les usurper.

• MTA-STS et TLS-RPT obligent les autres serveurs à vous livrer uniquement en TLS vérifié et à signaler les problèmes.
• BIMI affiche votre logo à côté de vos messages dans les messageries compatibles ; il exige DMARC en quarantine ou reject.

La vérification de la sécurité e-mail lit MX, SPF (avec son nombre de requêtes DNS), DKIM pour les sélecteurs courants ou le vôtre, DMARC, MTA-STS, TLS-RPT et BIMI, et signale les problèmes trouvés. Relancez-la après chaque modification DNS ; selon le TTL, les nouveaux enregistrements mettent de quelques minutes à une heure à apparaître.