SPF, DKIM et DMARC : à quoi servent-ils ?

Sans authentification, n'importe qui peut envoyer un e-mail qui affiche votre adresse comme expéditeur. C'est le principe de l'usurpation utilisée dans de nombreuses tentatives d'hameçonnage. SPF, DKIM et DMARC permettent aux messageries destinataires de vérifier qu'un message vient bien de vous. Ils améliorent aussi la délivrabilité de vos envois légitimes.

SPF : quels serveurs peuvent envoyer vos e-mails ?

SPF (Sender Policy Framework) est une liste de serveurs autorisés, publiée dans un enregistrement TXT. Exemple :

v=spf1 include:_spf.messagerie-exemple.fr ip4:192.0.2.10 -all

• include: autorise les serveurs d'un service tiers, par exemple votre messagerie.
• ip4: autorise une adresse IP précise, par exemple le serveur de votre site.
• -all demande de rejeter tout autre expéditeur ; ~all demande seulement de le considérer comme suspect.

Deux règles à retenir : un domaine ne doit avoir qu'un seul enregistrement SPF, et le nombre de consultations DNS qu'il déclenche est limité. SPF vérifie par ailleurs l'adresse technique d'expédition, pas celle que voit le destinataire. D'où l'utilité de DMARC.

DKIM : comment prouver qu'un message est authentique ?

DKIM (DomainKeys Identified Mail) repose sur une paire de clés. Le serveur d'envoi signe chaque message avec une clé privée qu'il garde secrète. La clé publique correspondante est publiée dans le DNS, par exemple sous selecteur1._domainkey.exemple.fr. Le destinataire l'utilise pour vérifier la signature : si le message a été modifié en chemin, la vérification échoue.

Chaque service qui envoie en votre nom doit disposer de sa propre clé DKIM, avec son propre sélecteur. Pensez à renouveler les clés périodiquement.

DMARC : que faire des messages suspects ?

DMARC (Domain-based Message Authentication, Reporting and Conformance) s'appuie sur SPF et DKIM. Il exige un alignement : le domaine visible dans le champ « De » doit correspondre au domaine validé par SPF ou par DKIM. Exemple :

v=DMARC1; p=none; rua=mailto:[email protected]

• p=none : ne rien bloquer, seulement observer.
• p=quarantine : placer les messages non conformes en indésirables.
• p=reject : refuser les messages non conformes.
• rua= : adresse qui reçoit les rapports agrégés, indiquant quels serveurs envoient au nom de votre domaine et avec quel résultat.

Pourquoi faut-il les trois ?

Chaque mécanisme couvre une faiblesse des autres. SPF seul ne protège pas l'adresse que lit le destinataire et échoue souvent quand un message est transféré. DKIM seul prouve qu'un message est intact, mais ne dit pas quoi faire d'un message non signé. DMARC, enfin, ne fonctionne pas sans SPF ou DKIM, puisqu'il s'appuie sur leurs résultats. C'est la combinaison des trois qui permet à une messagerie destinataire de refuser un faux message portant votre domaine, et à vous de savoir qui tente de l'utiliser.

Dans quel ordre les mettre en place ?

1. Recensez tous les services qui envoient des e-mails au nom du domaine : messagerie, formulaires du site, logiciel de facturation, outil de lettres d'information.
2. Publiez un enregistrement SPF qui les autorise tous.
3. Activez DKIM sur chacun de ces services.
4. Publiez DMARC en p=none avec une adresse de rapports.
5. Analysez les rapports et corrigez les services qui échouent.
6. Passez progressivement à p=quarantine, puis à p=reject.

Comment vérifier que tout fonctionne ?

Envoyez un message vers une messagerie externe et affichez son texte original. L'en-tête Authentication-Results doit indiquer spf=pass, dkim=pass et dmarc=pass. Pour un domaine qui n'envoie jamais d'e-mails, publiez v=spf1 -all et une politique DMARC en p=reject : personne ne pourra l'utiliser légitimement comme expéditeur.

Pour configurer ces enregistrements sur votre domaine, voyez la messagerie professionnelle NexSecure.