SPF, DKIM, DMARC : empêcher qu'on usurpe votre adresse

Un client vous téléphone, furieux : il a reçu une facture de votre entreprise avec un numéro de compte qui n’est pas le vôtre. L’e-mail portait votre adresse, votre signature, votre logo. Vous n’avez jamais rien envoyé, et personne n’est entré dans votre messagerie.

Ce scénario n’exige aucun piratage. Il exploite une faiblesse d’origine de l’e-mail, et trois réglages permettent d’y mettre fin. Encore faut-il aller jusqu’au bout, car la configuration la plus répandue en Suisse romande donne l’illusion de la protection sans rien bloquer du tout.

Pourquoi n’importe qui peut-il écrire en votre nom ?

L’e-mail a été conçu à une époque où les quelques réseaux connectés se faisaient confiance. Personne n’avait prévu la fraude. Résultat : le champ « expéditeur » d’un message est un simple texte, que celui qui envoie remplit comme il veut.

L’analogie tient en une image. Sur une enveloppe postale, vous écrivez au dos l’adresse d’expéditeur de votre choix. La poste ne vérifie rien. Elle achemine l’enveloppe, et le destinataire lit ce que vous avez inscrit. L’e-mail fonctionne exactement de la même façon.

Un escroc peut donc envoyer, depuis son propre serveur, un message qui affiche [email protected]. Aucun accès à votre boîte n’est nécessaire. C’est ce qui rend cette technique si accessible, et si utilisée dans la fraude au président comme dans les faux e-mails de facture.

SPF, DKIM et DMARC ont été ajoutés par-dessus l’e-mail pour corriger ce défaut. Ils permettent au serveur qui reçoit un message de poser une question simple : ce message vient-il vraiment de chez eux ?

SPF : la liste des expéditeurs autorisés

SPF répond à une seule question : quels serveurs ont le droit d’envoyer des e-mails pour votre domaine ?

Imaginez que vous déposiez à la réception de votre immeuble la liste des personnes autorisées à retirer votre courrier. Quiconque se présente sans figurer sur la liste est écarté. SPF est cette liste, publiée dans la zone DNS de votre domaine, c’est-à-dire l’annuaire public qui indique à Internet où trouver votre site et votre messagerie.

Concrètement, vous y déclarez les serveurs de votre hébergeur de messagerie, ceux de votre outil d’infolettre, ceux de votre logiciel de facturation. Quand un message arrive ailleurs en prétendant venir de chez vous, le serveur destinataire consulte cette liste et constate que l’expéditeur réel n’y est pas.

SPF a une limite connue : il vérifie le serveur d’envoi, pas le contenu. Et il se casse quand un message est réexpédié automatiquement, par exemple par une redirection. C’est pour cela qu’il ne vient jamais seul.

DKIM : la signature qui prouve l’intégrité

DKIM ajoute au message une signature électronique, invisible pour le lecteur, calculée par votre serveur au moment de l’envoi.

L’équivalent physique est le sceau de cire sur une lettre. Il prouve deux choses : que la lettre vient bien de celui qui détient le sceau, et que l’enveloppe n’a pas été ouverte en chemin. Si quelqu’un modifie une seule ligne du message, la signature ne correspond plus.

La clé publique qui permet de vérifier cette signature est elle aussi publiée dans votre zone DNS. Le serveur destinataire la récupère, refait le calcul, et compare. En pratique, votre hébergeur de messagerie génère ces clés pour vous ; votre travail consiste à les publier correctement, et à faire de même pour chaque service tiers qui envoie en votre nom.

DMARC : la décision, et surtout les rapports

SPF et DKIM constatent. Ils ne décident rien. Un message qui échoue aux deux tests peut très bien arriver dans la boîte du destinataire, dossier principal compris, si rien ne dit ce qu’il faut en faire.

DMARC comble ce vide. C’est un enregistrement, toujours dans la zone DNS, qui répond à deux questions : que faire des messages qui échouent, et à qui envoyer un rapport de ce qui se passe.

La partie la plus utile de DMARC est souvent ignorée : les rapports. En indiquant une adresse de destination, vous recevez chaque jour, de la part des grands fournisseurs de messagerie, un récapitulatif des messages envoyés dans le monde avec votre domaine en expéditeur, et du résultat des tests. C’est ce qui vous permet de découvrir à la fois les tentatives d’usurpation et vos propres services mal configurés.

Le piège : un DMARC qui n’empêche rien

Voici l’erreur la plus répandue, et elle est presque universelle chez les PME qui ont fait un premier pas.

Un prestataire met en place les trois enregistrements. La case est cochée, le dirigeant considère le sujet réglé. Un test rapide confirme que DMARC est bien présent. Sauf que la politique est réglée sur p=none, la valeur de départ recommandée pour ne rien casser, et que personne n’est jamais revenu la changer.

Cette phase d’observation a une vraie utilité, mais elle est censée durer quelques semaines, le temps de lire les rapports. Restée en place pendant trois ans, elle ne produit qu’une chose : un faux sentiment de sécurité.

Comment monter en puissance sans bloquer vos propres e-mails ?

Pourquoi ne pas passer directement en reject ? Parce que le risque est réel, et qu’il se retourne contre vous.

Presque toutes les entreprises envoient des e-mails depuis plus d’endroits qu’elles ne le croient : la messagerie principale, le logiciel de facturation qui envoie les factures au nom de la comptabilité, la plateforme d’infolettre, le CRM qui relance les clients, le formulaire de contact du site, parfois un outil de signature électronique ou de prise de rendez-vous. Chacun envoie en votre nom.

Si vous durcissez la politique en ayant oublié l’un d’eux, ses messages seront purement et simplement refusés. Vos factures cesseront d’arriver. Personne ne vous préviendra, parce qu’un rejet est silencieux du point de vue de l’expéditeur métier. Vous le découvrirez par les relances de clients qui n’ont rien reçu.

Cette progression est à la portée d’une PME, et elle ne coûte rien d’autre que de l’attention. Elle demande simplement de ne pas s’arrêter à la première étape, ce qui est précisément là que la plupart s’arrêtent.

Que protègent réellement SPF, DKIM et DMARC ?

Une politique stricte a des effets très concrets. Elle empêche un escroc d’écrire à vos clients depuis votre adresse exacte pour leur communiquer un faux numéro de compte. Elle coupe la variante la plus crédible de la fraude au président, celle où le message semble venir de la direction elle-même. Elle réduit aussi les dégâts d’une compromission de messagerie en limitant les canaux exploitables.

Elle ne fait pas tout. Un attaquant peut enregistrer un domaine ressemblant au vôtre, avec une lettre en moins, et l’authentifier parfaitement pour son propre compte. Il peut afficher le nom de votre directeur depuis une adresse gratuite. Et rien de tout cela ne protège votre boîte de réception, qui relève d’autres mesures détaillées dans les 10 mesures essentielles.

Pour savoir où vous en êtes, notre outil de vérification e-mail interroge la zone DNS de votre domaine et vous dit si les trois protections existent, et dans quel mode DMARC est réglé. C’est le point de départ honnête.

Reste la mise en œuvre. Modifier une zone DNS n’est pas difficile en soi, mais c’est une opération dont l’erreur se paie immédiatement, en messages qui n’arrivent plus. Recenser tous les expéditeurs, interpréter des rapports techniques et choisir le moment de durcir demande de savoir où regarder. Ces réglages forment un socle solide, ils ne remplacent pas un examen de votre situation réelle. Se faire accompagner sur cette étape précise coûte moins cher qu’une semaine de factures bloquées.

Les autres mesures prioritaires sont regroupées dans le pilier Bonnes pratiques, et le check-up cyber vous situe en quelques minutes.