Authentification des e-mails

L’authentification des e-mails est l’ensemble des normes basées sur le DNS qui permettent aux serveurs de messagerie destinataires de vérifier qu’un message provient réellement du domaine qu’il prétend représenter — et de le rejeter dans le cas contraire. Trois normes fondamentales assurent ce travail : SPF autorise les serveurs habilités à envoyer pour votre domaine, DKIM ajoute une signature cryptographique qui prouve qu’un message n’a pas été altéré, et DMARC relie les deux à l’adresse From visible et indique aux destinataires quoi faire lorsqu’une vérification échoue.

Ensemble, SPF, DKIM et DMARC transforment un protocole ouvert, où l’on ne fait confiance à personne, en un protocole où les fournisseurs de messagerie peuvent distinguer votre courrier légitime des usurpations. Ce hub explique ce que prouve chaque norme, comment elles se combinent en un verdict unique et à plusieurs couches, et où approfondir chacune d’entre elles.

Pourquoi l’authentification des e-mails existe

SMTP, le protocole qui achemine la quasi-totalité des e-mails, a été conçu à une époque de confiance mutuelle. Il ne dispose d’aucun moyen intégré de vérifier que l’expéditeur est bien celui qu’il prétend être. N’importe qui peut se connecter à un serveur de messagerie et définir l’adresse From sur ce qu’il veut — votre banque, votre PDG ou votre propre domaine. Rien dans le protocole de base ne l’en empêche.

C’est précisément cette faille que les attaquants exploitent. L’usurpation d’adresse e-mail falsifie l’adresse de l’expéditeur pour faire passer un message pour légitime, et les campagnes de phishing s’appuient dessus pour voler des identifiants, détourner des factures ou installer des logiciels malveillants. L’authentification des e-mails comble cette faille en publiant dans le DNS des signaux vérifiables — des signaux qu’un faussaire ne peut pas imiter sans le contrôle de votre domaine et de vos clés privées. Lorsque ces signaux sont en place et appliqués, le courrier usurpé est détecté et rejeté avant d’atteindre une boîte de réception.

SPF, DKIM et DMARC en un coup d’œil

Chaque norme répond à une question différente, et chacune réside à un endroit différent. Voici comment elles s’articulent.

Norme	Ce qu’elle prouve	Où elle réside
SPF	Le serveur qui se connecte est autorisé à envoyer pour votre domaine	Un enregistrement TXT dans le DNS de votre domaine
DKIM	Le message porte une signature cryptographique valide et n’a pas été altéré en transit	Un en-tête de signature sur le message, vérifié par rapport à une clé publique dans le DNS
Vérificateur DMARC	SPF et/ou DKIM réussissent et s’alignent sur le domaine From visible, plus une politique en cas d’échec	Un enregistrement TXT dans le DNS, appliqué par le destinataire

SPF et DKIM valident chacun une pièce du puzzle. DMARC est la couche qui décide si ces pièces protègent réellement l’adresse que voient vos destinataires.

Comment les trois fonctionnent ensemble

Les trois normes forment une vérification à plusieurs couches qu’un serveur destinataire exécute sur chaque message.

D’abord, SPF examine l’adresse IP qui s’est connectée et se demande si l’enregistrement SPF de votre domaine l’autorise à envoyer. Cela valide l’enveloppe — le serveur, pas le message.

Ensuite, DKIM vérifie la signature cryptographique attachée au message par rapport à la clé publique publiée dans votre DNS. Une signature valide prouve que le corps du message et les en-têtes clés n’ont pas été altérés après la signature.

Enfin, DMARC relie les deux résultats au domaine que vos destinataires voient réellement dans le champ From. Il exige un alignement : le domaine qui a réussi SPF ou DKIM doit correspondre au domaine From. C’est important parce qu’un usurpateur peut facilement réussir SPF ou DKIM pour un domaine qu’il contrôle — l’alignement est ce qui force la vérification sur votre domaine.

Fait crucial, DMARC a besoin qu’au moins SPF ou DKIM réussisse et s’aligne. DMARC à lui seul n’authentifie rien ; c’est la couche de politique et d’alignement qui donne du mordant à SPF et DKIM. Lorsque l’alignement échoue, DMARC applique l’application que vous avez publiée : none (surveillance uniquement), quarantine (acheminer vers les spams) ou reject (refuser purement et simplement le message). Passer de none à reject, c’est ainsi que l’on passe de l’observation des usurpations à leur blocage.

Les comparer une à une

Comme les trois normes se recoupent dans leur objectif mais diffèrent par leur mécanisme, il est utile de les comparer par paires. Chacun des guides ci-dessous approfondit une comparaison — ce que prouve chacune, en quoi elles diffèrent et pourquoi vous avez généralement besoin des deux.

• SPF vs DKIM — autorisation du serveur contre signature du message.
• DKIM vs DMARC — signature contre alignement et politique.
• SPF vs DMARC — autorisation du chemin contre application.

Au-delà des trois piliers

Deux normes plus récentes s’appuient sur une fondation authentifiée.

BIMI (Brand Indicators for Message Identification) permet à votre logo vérifié d’apparaître à côté des messages authentifiés dans les boîtes de réception compatibles. Il ne fonctionne qu’une fois DMARC appliqué à quarantine ou reject, il constitue donc une récompense pour avoir bien mis en place les fondamentaux plutôt qu’un substitut à ceux-ci. Apprenez-en plus dans le guide BIMI.

MTA-STS (Mail Transfer Agent Strict Transport Security) protège le courrier en transit en indiquant aux serveurs expéditeurs d’exiger le chiffrement TLS et de rejeter les attaques par rétrogradation qui exposeraient autrement les messages à une interception. Là où SPF, DKIM et DMARC vérifient l’expéditeur, MTA-STS sécurise la connexion elle-même. Consultez le guide MTA-STS pour la configuration.

Bien mettre en place les trois

Vous n’avez pas à deviner si vos enregistrements sont valides. Construisez et vérifiez chaque couche avec un outil dédié : contrôlez votre politique d’expéditeur avec le Vérificateur SPF, confirmez que votre signature est publiée et s’analyse correctement avec la Recherche DKIM, et validez l’alignement et la politique avec le vérificateur DMARC.

La chose la plus courante qui casse discrètement une configuration est un enregistrement SPF qui dépasse la limite de 10 recherches. Chaque include, a, mx et redirection de votre enregistrement compte, et une fois que vous dépassez dix recherches DNS, SPF renvoie un permerror — le courrier légitime commence à échouer à l’authentification alors même que l’enregistrement semble correct. AutoSPF empêche cela automatiquement en aplatissant votre enregistrement en un ensemble d’IP compact et toujours valide et en le maintenant sous la limite à mesure que vos expéditeurs évoluent, de sorte que ce mode de défaillance ne réapparaît jamais.

Foire aux questions

Qu’est-ce que l’authentification des e-mails ?

L’authentification des e-mails est un ensemble de normes basées sur le DNS — principalement SPF, DKIM et DMARC — qui permettent aux serveurs de messagerie destinataires de vérifier qu’un message provient véritablement du domaine qu’il prétend représenter. Comme SMTP ne dispose d’aucune vérification intégrée de l’expéditeur, ces normes publient des signaux que les faussaires ne peuvent pas imiter, ce qui permet aux fournisseurs de messagerie de détecter et de bloquer les messages usurpés ou de phishing.

Quelle est la différence entre SPF, DKIM et DMARC ?

SPF autorise les serveurs habilités à envoyer du courrier pour votre domaine. DKIM ajoute une signature cryptographique prouvant qu’un message n’a pas été altéré en transit. DMARC relie les deux résultats à l’adresse From visible grâce à l’alignement et indique aux destinataires quoi faire lorsque les vérifications échouent. SPF et DKIM valident chacun une pièce ; DMARC les combine en une politique applicable.

Ai-je besoin des trois : SPF, DKIM et DMARC ?

Oui. SPF et DKIM ne couvrent chacun qu’une partie du tableau, et DMARC exige qu’au moins l’un d’eux réussisse et s’aligne avant de pouvoir protéger l’adresse que voient réellement les destinataires. Sauter une couche laisse une faille : sans DMARC, il n’y a pas d’application, et sans SPF ni DKIM, il n’y a rien sur quoi DMARC peut s’aligner.

Lequel dois-je configurer en premier — SPF, DKIM ou DMARC ?

Commencez par SPF, car c’est le plus simple à publier et les autres couches en dépendent. Ajoutez ensuite DKIM pour que les messages portent une signature vérifiable. Déployez DMARC en dernier, en commençant par la politique none pour surveiller les rapports, puis resserrez vers quarantine et enfin reject une fois que vous avez confirmé que votre courrier légitime réussit et s’aligne.