DMARC : sécurité pour votre com­mu­ni­ca­tion par email

Le mécanisme de vé­ri­fi­ca­tion DMARC a été conçu pour dis­tin­guer les emails frau­du­leux des messages légitimes. Les pro­prié­taires de domaine en tirent un avantage par­ti­cu­lier, car DMARC empêche leur domaine d’être ajouté à des listes noires et limite le risque que leurs emails soient rejetés ou con­si­dé­rés comme des spams.

Qu’est-ce que DMARC ?

DMARC signifie Domain-based Message Au­then­ti­ca­tion Reporting and Con­for­mance. Cette méthode complète les tech­niques d’au­then­ti­fi­ca­tion exis­tantes comme SPF et DKIM en donnant aux serveurs de mes­sa­ge­rie des ins­truc­tions précises sur la manière de traiter les messages qui ne réus­sis­sent pas ces vé­ri­fi­ca­tions.

Comment fonc­tionne DMARC ?

• Les pro­prié­taires de domaine publient dans la zone DNS un en­re­gis­tre­ment TXT-Record contenant les pa­ra­mètres DMARC
• Les serveurs de mes­sa­ge­rie ré­cep­teurs con­trô­lent les emails entrants au moyen de SPF et/ou DKIM
• Si la vé­ri­fi­ca­tion échoue, le serveur applique la politique définie dans le DMARC-Record
• Des rapports peuvent également être envoyés aux pro­prié­taires de domaine pour détecter d’éven­tuelles attaques et réagir ra­pi­de­ment

Aperçu des po­li­tiques DMARC

DMARC : reporting

Un élément essentiel de DMARC est le système de retour d’in­for­ma­tion, qui informe les pro­prié­taires de domaine des ten­ta­tives d’abus éven­tuelles :

• Rapports agrégés (rua) : aperçus quo­ti­diens de tous les emails vérifiés, gé­né­ra­le­ment au format XML, contenant des in­for­ma­tions sur le volume, la source et les résultats des vé­ri­fi­ca­tions
• Rapports fo­ren­siques (ruf) : rapports détaillés sur les échecs de vé­ri­fi­ca­tion, pouvant inclure des parties des en-têtes et du contenu des messages suspects

Notez que ces rapports peuvent contenir des données sensibles (adresses email, in­for­ma­tions liées à l’ex­pé­di­teur, détails tech­niques, etc.). Lors de la con­fi­gu­ra­tion, veillez à respecter les ré­gle­men­ta­tions en matière de pro­tec­tion des données.

Le contenu de l’en­re­gis­tre­ment DMARC

Un en­re­gis­tre­ment DMARC est en­re­gis­tré en tant qu’en­re­gis­tre­ment TXT dans le DNS d’un domaine. Il se compose de dif­fé­rents pa­ra­mètres qui dé­ter­mi­nent la manière dont les emails entrants sont traités.

Champs DMARC et leur sig­ni­fi­ca­tion

Exemple d’un en­re­gis­tre­ment DMARC

_dmarc.exemple.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@exemple.com; ruf=mailto:dmarc-forensic@exemple.com; pct=100; adkim=s; aspf=s"

Créer un en­re­gis­tre­ment DMARC

Avant de créer un en­re­gis­tre­ment DMARC, votre domaine doit déjà disposer d’en­re­gis­tre­ments SPF et DKIM. DMARC ne peut fonc­tion­ner plei­ne­ment que si ces deux mé­ca­nismes sont cor­rec­te­ment con­fi­gu­rés.

Étape 1 : générer un en­re­gis­tre­ment DMARC

Utilisez un outil en ligne, par exemple le DMARC Record Generator de EasyDMARC. Saisissez votre domaine ainsi que les options sou­hai­tées (politique, adresses de rapports, etc.).

Close

Étape 2 : créer un en­re­gis­tre­ment TXT dans le DNS

Connectez-vous à votre four­nis­seur de domaine et ouvrez les pa­ra­mètres DNS. Créez ensuite un en­re­gis­tre­ment TXT avec les valeurs suivantes pour con­fi­gu­rer l’en­re­gis­tre­ment DMARC du domaine :

• Sous-domaine : _dmarc.votredomaine.fr
• Type : TXT
• Valeur : l’en­re­gis­tre­ment DMARC généré par l’outil

Exemple :

_dmarc.votredomaine.fr. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc-reports@votredomaine.fr"

Étape 3 : in­tro­duire pro­gres­si­ve­ment la politique

1. Commencez avec p=none

• DMARC observe uni­que­ment, tous les emails sont livrés nor­ma­le­ment
• Analysez les rapports DMARC pour vérifier si tous les serveurs légitimes passent cor­rec­te­ment les vé­ri­fi­ca­tions

2. Passez à p=quarantine

• Les emails suspects sont déplacés vers le dossier spam ou qua­ran­taine
• Le risque d’abus du domaine diminue nettement

3. Terminez avec p=reject

• Les emails non au­then­ti­fiés sont bloqués et ne sont pas délivrés
• Le niveau re­com­mandé lorsque les en­re­gis­tre­ments SPF et DKIM sont plei­ne­ment établis

Il est conseillé de laisser la politique sur none au départ et d’observer les rapports pendant un certain temps afin de vérifier que DMARC fonc­tionne comme prévu.

Étape 4 : con­fi­gu­rer l’adresse de rapport

Créez une adresse distincte, par exemple dmarc-reports@votredomaine.fr. Utilisez-la uni­que­ment pour les rapports DMARC afin d’éviter de sur­char­ger vos boîtes aux lettres ha­bi­tuelles. Vous pouvez également créer une adresse pour les rapports fo­ren­siques, par exemple dmarc-forensic@votredomaine.fr. Gardez à l’esprit les points suivants :

• Séparer les rapports : utilisez ces adresses ex­clu­si­ve­ment pour les rapports DMARC afin d’éviter de recevoir de nombreux fichiers XML dans vos boîtes prin­ci­pales.
• Au­to­ri­sa­tion DNS : pour qu’un serveur externe puisse envoyer des rapports à votre domaine, celui-ci doit y consentir via le DNS. Sans cette au­to­ri­sa­tion, aucun rapport DMARC ne sera reçu, même si l’en­re­gis­tre­ment est correct.
• Respecter la pro­tec­tion des données : les rapports DMARC con­tien­nent des données sensibles (adresses IP, adresses email). Vérifiez si leur trai­te­ment respecte vos po­li­tiques internes et, si né­ces­saire, le RGPD.

Étape 5 : sur­veil­ler les résultats

Utilisez des outils spé­cia­li­sés pour analyser les rapports et détecter ra­pi­de­ment les abus. Des services comme Google Post­mas­ter Tools ou Microsoft SNDS (Smart Network Data Services) montrent si et comment votre domaine est utilisé par des at­ta­quants, et fa­ci­li­tent l’ajus­te­ment de votre politique DMARC.

Étape 6 : vérifier l’en­re­gis­tre­ment DMARC

Selon votre serveur de noms, la pu­bli­ca­tion de l’en­re­gis­tre­ment DMARC peut prendre quelques minutes ou plusieurs heures. Pour vérifier qu’il a été publié cor­rec­te­ment, utilisez un outil de vé­ri­fi­ca­tion DMARC, par exemple le DMARC Record Lookup Tool d’EasyDMARC.

Close