N’importe qui peut envoyer un e-mail en votre nom. Voici pourquoi
Pourquoi un inconnu peut envoyer un e-mail qui semble venir de votre domaine, et les trois enregistrements qui l’en empêchent.
La messagerie a été conçue bien avant que quiconque se soucie des faux messages. Lorsqu’un message arrive, la ligne « from » n’est qu’un texte tapé par l’expéditeur. Rien dans la conception d’origine ne la vérifie.
C’est ainsi que quelqu’un peut envoyer à vos clients une facture qui semble venir de vous.
Les trois enregistrements qui y remédient
Votre domaine peut publier trois courtes notes dans son DNS, le carnet d’adresses public de votre domaine. Les serveurs de messagerie les lisent avant de faire confiance à un message.
- SPF liste les services autorisés à envoyer des e-mails pour votre domaine, comme votre fournisseur de messagerie et votre outil de lettre d’information.
- DKIM ajoute une signature à chaque message, afin qu’un serveur de messagerie puisse vérifier qu’il vient bien de vous et qu’il n’a pas été modifié en chemin.
- DMARC indique aux serveurs de messagerie quoi faire d’un message qui échoue à ces contrôles, par exemple le placer dans les indésirables ou le rejeter, et où envoyer les rapports.
Lorsque les trois sont en place et que DMARC est réglé sur quarantaine ou rejet, un faux message de votre domaine finit dans les indésirables ou est renvoyé.
Pourquoi cela ne fonctionne pas
La plupart des domaines ont un SPF mais pas de DMARC, ou un DMARC réglé sur « none », qui se contente d’observer sans jamais bloquer. D’autres listent trop de services dans leur SPF et dépassent la limite de recherches, si bien que l’enregistrement cesse de fonctionner.
Un domaine qui n’envoie jamais d’e-mails n’est pas non plus sûr par défaut. Les serveurs de messagerie jugent le domaine indiqué dans la ligne « from », et non la présence d’une boîte aux lettres. Un domaine silencieux sans règles est donc facile à imiter, et vous ne voyez jamais les messages renvoyés. Il faut trois enregistrements pour le sécuriser : une règle DMARC réglée sur rejet, un enregistrement SPF qui n’autorise aucun expéditeur (v=spf1 -all) et un enregistrement de serveur de messagerie vide (0 .).
Une analyse lit ces enregistrements comme le ferait un serveur de messagerie. Elle peut donc vous indiquer précisément celui qui manque ou qui est faible.
Cette page vous a-t-elle été utile ?
Apprendre avec Pick
De courtes leçons sur la façon dont les sites web sont attaqués et ce qu’il faut faire, en termes simples, en environ deux minutes chacune.
Ce que signifie vraiment le cadenas dans la barre d’adresse
L’icône de cadenas indique que la connexion est privée, et non que le site est fiable. Quelques paramètres permettent de le garder ainsi.