Usurpation d'e-mail
L'usurpation d'e-mail consiste à falsifier l'adresse d'expéditeur d'un e-mail afin qu'un message semble provenir de quelqu'un qui ne l'a pas envoyé. Comme le protocole SMTP classique n'a jamais vérifié qui était autorisé à utiliser un domaine dans la ligne `From`, un attaquant peut apposer *votre* domaine sur un e-mail qu'il envoie depuis *son* serveur — et, sans les bons enregistrements DNS
L’usurpation d’e-mail (email spoofing) consiste à falsifier l’adresse d’expéditeur d’un e-mail afin qu’un message semble provenir de quelqu’un qui ne l’a pas envoyé. Comme le protocole SMTP classique n’a jamais vérifié qui était autorisé à utiliser un domaine dans la ligne From, un attaquant peut apposer votre domaine sur un e-mail qu’il envoie depuis son serveur — et, sans les bons enregistrements DNS en place, les serveurs de réception n’ont aucun moyen fiable de le détecter. L’usurpation est le moteur de la plupart des attaques de phishing, de compromission de la messagerie d’entreprise (BEC) et de fraude à la facture, et la défense repose sur le même trio d’enregistrements DNS autour duquel ce site est construit : SPF, DKIM et DMARC.
Comment fonctionne l’usurpation d’e-mail
Chaque e-mail transporte en réalité deux identités d’expéditeur. Il y a l’expéditeur d’enveloppe (l’adresse MAIL FROM utilisée pendant la conversation SMTP) et l’en-tête From (l’adresse conviviale que votre client de messagerie affiche). Les attaquants exploitent l’écart entre les deux :
- L’attaquant se connecte à un serveur de messagerie et démarre une session SMTP normale.
- Dans les en-têtes du message, il écrit simplement votre domaine dans le champ
From— rien ne l’empêche de taperbilling@yourcompany.com. - Le serveur de réception livre le message. À moins que votre domaine ne publie des enregistrements d’authentification, le destinataire voit un expéditeur d’apparence fiable et aucun avertissement.
Rien n’est « piraté » dans une attaque par usurpation — aucun mot de passe n’est volé et aucun serveur n’est compromis. L’attaquant abuse du fait que, par défaut, un domaine ne déclare pas quels serveurs sont autorisés à envoyer en son nom. Cette déclaration est précisément ce que fournissent SPF, DKIM et DMARC.
Les principaux types d’usurpation d’e-mail
L’usurpation se manifeste sous plusieurs formes distinctes, chacune avec son propre indice révélateur et sa propre solution :
- Usurpation de domaine — l’attaquant falsifie votre domaine exact dans l’adresse
From. C’est ce que SPF, DKIM et DMARC empêchent directement. - Usurpation du nom d’affichage — le nom visible affiche « Votre PDG » alors que l’adresse réelle qui se cache derrière est un compte de messagerie gratuit. DMARC ne peut pas bloquer cela à lui seul, car le domaine d’envoi est réellement celui de l’attaquant.
- Domaines ressemblants / cousins — les messages proviennent de
yourcompany-support.comouyourcompanny.com, des domaines que l’attaquant possède réellement et peut authentifier. Contrer ces attaques nécessite de la surveillance et de la sensibilisation des utilisateurs, pas seulement SPF. - Usurpation par écho / chaîne de réponse — les attaquants réutilisent un fil de discussion réel, précédemment envoyé, pour faire passer une réponse falsifiée pour légitime.
Savoir à quel type vous êtes confronté vous indique si les enregistrements d’authentification l’arrêteront d’emblée ou si vous avez également besoin d’outils de protection et de surveillance.
Comment SPF, DKIM et DMARC arrêtent l’usurpation
Les trois enregistrements fonctionnent comme un contrôle en couches sur chaque message entrant :
- SPF publie la liste des adresses IP autorisées à envoyer du courrier pour votre domaine. Un serveur de réception vérifie si le serveur émetteur figure sur cette liste. Créez et auditez le vôtre avec le SPF Checker.
- DKIM ajoute une signature cryptographique qui prouve que le message n’a pas été altéré et provient réellement de votre domaine.
- DMARC relie SPF et DKIM à l’adresse
Fromvisible (alignement) et indique aux serveurs de réception quoi faire lorsqu’un message échoue —none,quarantineoureject.
Publiés ensemble avec une politique SPF -all et une politique DMARC p=reject, ils rendent pratiquement impossible pour un attaquant l’envoi de courrier usurpant votre domaine et atterrissant dans une boîte de réception. Notre guide complet sur comment prévenir l’usurpation d’e-mail couvre les enregistrements exacts à publier.
Le piège : SPF seul ne suffit pas — et il se casse silencieusement
Publier SPF est la première étape, mais SPF a une limite stricte de 10 recherches DNS, et chaque ESP, CRM et outil marketing que vous autorisez en consomme une part. Dépassez la limite et SPF renvoie une PermError, ce qui invalide l’ensemble de l’enregistrement — à ce moment-là, le courrier légitime commence à échouer et, pire encore, votre protection anti-usurpation tombe silencieusement. C’est le problème que résout AutoSPF : il maintient votre enregistrement SPF aplati et sous la limite automatiquement, afin que l’authentification qui arrête l’usurpation reste saine à mesure que votre pile d’envoi évolue. Associez-le à DKIM et à une politique DMARC p=reject et l’usurpation de domaine cesse tout simplement de fonctionner.
Vous découvrez les enregistrements sous-jacents ? Commencez par comment créer un enregistrement SPF et la référence de syntaxe des enregistrements SPF, et assurez-vous que le vôtre reste sous la limite de 10 recherches.
Foire aux questions
Qu’est-ce que l’usurpation d’e-mail ?
L’usurpation d’e-mail consiste à falsifier l’adresse d’expéditeur d’un e-mail afin qu’il semble provenir d’une personne ou d’un domaine qui ne l’a pas réellement envoyé. Elle repose sur le fait que le SMTP de base ne vérifie pas l’adresse From, et c’est la technique principale derrière le phishing et la compromission de la messagerie d’entreprise. SPF, DKIM et DMARC sont les enregistrements DNS qui permettent aux serveurs de réception de la détecter et de la rejeter.
Le SPF arrête-t-il l’usurpation d’e-mail ?
Le SPF empêche les attaquants de falsifier votre domaine exact en indiquant aux serveurs de réception quels serveurs peuvent envoyer pour lui — mais uniquement lorsqu’il est associé à DKIM et à une politique DMARC réglée sur quarantine ou reject, et uniquement tant que l’enregistrement SPF reste valide sous la limite de 10 recherches. Le SPF seul, ou un enregistrement SPF cassé, laisse des failles que les usurpateurs exploitent.
L’usurpation d’e-mail peut-elle être entièrement empêchée ?
L’usurpation de domaine — la falsification de votre domaine exact — peut être efficacement éliminée avec SPF, DKIM et une politique DMARC p=reject. L’usurpation du nom d’affichage et par domaine ressemblant ne peut pas être bloquée par vos seuls enregistrements DNS (l’attaquant n’utilise pas votre domaine), elles nécessitent donc aussi la sensibilisation des destinataires et de la surveillance.
L’usurpation d’e-mail est-elle la même chose que le phishing ?
Non. L’usurpation est une technique — la falsification de l’adresse d’expéditeur — tandis que le phishing est l’objectif : inciter quelqu’un à révéler des informations ou de l’argent. La plupart des attaques de phishing utilisent l’usurpation, mais pas toutes. Consultez usurpation d’e-mail vs phishing pour la distinction complète.
Comment savoir si mon domaine est usurpé ?
Les signes incluent des messages de rebond pour des e-mails que vous n’avez jamais envoyés (backscatter), des destinataires signalant du courrier suspect provenant de votre domaine et — le plus fiable — des rapports agrégés DMARC montrant du courrier échouant à l’authentification depuis des IP que vous ne reconnaissez pas. Publier DMARC (même en p=none) active ces rapports.