Ci-après une brève description de DMARC, mettant en lumière son importance et son fonctionnement.
Table des matières
Fonctionnement de DMARC
DMARC (acronyme de « Domain-based Message Authentication, Reporting & Conformance ») est un protocole d'authentification d'e-mail proposant des instructions via une politique DMARC publiée dans les DNS, vers les IPS et les destinataires d'e-mail quant à la gestion des e-mails non authentifiés. Il a initialement été conçu pour détecter et lutter contre les e-mails frauduleux.
DMARC exploite deux protocles d'authentification existants (SPF et DKIM) afin d'aider les destinataires d'e-mails à déterminer l'authenticité d'un message avant de le livrer dans la boîte de réception, de le bloquer ou de la placer en quarantaine ou dans le dossier spam en fonction de politiques paramétrées par l'expéditeur.
Voici un exemple d'enregistrement DMARC pouvant figurer dans les DNS :
- v=DMARC1;p=reject;pct=100;rua=mailto:postmaster@emarsys.com
Le principal objectif de DMARC est de mettre en place une « politique ». Cette politique définit l'action devant être effectuée à la réception d'un e-mail non authentifié de ce domaine. Les options sont : ne rien faire (« aucun »), placer l'e-mail dans le dossier Spam (en « quarantaine ») ou bloquer (« rejeter ») le message. La politique de rejet est la seule à assurer la protection complète du domaine.
Isolés, DKIM et SPF sont vulnérables : n'importe qui peut acheter un domaine et ajouter DKIM/SPF aux en-têtes d'un email. DMARC essaie de lier les résultats des vérifications DKIM et SPF au domaine qui se trouve dans l'en-tête De. Cela s'appelle l'alignement.
L'alignement aide à éviter l'usurpation du domaine De en associant le domaine utilisé dans l'en-tête De à la balise d=sender.domain dans la signature DKIM, et en associant le domaine d'expéditeur à l'enveloppe du domaine utilisé dans SPF.
Pour passer DMARC, un message doit passer l'authentification SPF et l'alignement SPF, et/ou l'authentification DKIM et l'alignement DKIM.
La deuxième fonctionnalité de DMARC consiste à permettre à l'ISP d'envoyer des rapports quant au succès ou à l'échec de l'authentification d'un domaine. Ces rapports sont envoyés aux adresses « rua » (rapports agrégés) et « ruf » (rapports légaux) définies. Le document https://e-mail.eco.de/wp-content/blogs.dir/26/files/eco_dmarc_legal_report.pdf fournit une perspective intéressante sur les aspects légaux des rapports DMARC.
Politique : les valeurs
- rejet - Si le message ne passe pas l'authentification ou l'alignement DKIM et SPF, la validation échouera.
- quarantaine - Si l'authentification DKIM et/ou SPF du message échoue, la validation est gérée par le fournisseur e-mail en conséquence (déplacé vers le courrier indésirable/spam, rapport envoyé à l'expéditeur, marqué comme suspect, etc.).
- aucun - Le propriétaire du domaine demande au destinataire de ne prendre aucune mesure lorsque la vérification DMARC échoue. Le destinataire peut toujours vérifier la validation SPF et/ou DKIM et rejeter le message en conséquence. Un enregistrement DMARC dont la politique est définie sur aucun peut impacter la délivrabilité, mais laisse toutefois au destinataire la possibilité de déterminer l'origine et l'authenticité des messages.
Balises
En plus du paramétrage des valeurs de la politique, les expéditeurs peuvent ajouter diverses balises à leur enregistrement DMARC. L'objectif est de fournir aux destinataires davantage d'informations quant à la gestion des e-mails non authentifiés de la part d'un expéditeur donné.
- v - Indique la version du protocole DMARC.
- p - Indique si le message doit être rejeté, mis en quarantaine, ou si la politique doit être ignorée.
- pct - Indique le taux d'e-mails devant être rejetés en cas d'échec de l'authentification.
- rua - Fournit une adresse e-mail vers laquelle les rapports agrégés contenant les données relatives aux messages dont la validation DMARC a échoué peuvent être transférés.
- ruf - Fournit une adresse e-mail vers laquelle les données légales relatives aux messages dont la validation DMARC a échoué peuvent être transférées.
Conformément aux lignes directrices du Groupe CSA et du RGPD les plus récentes, les balises ruf devraient être évitées.
Le processus d'authentification
Ce diagramme provenant du site web officiel de DMARC fournit un aperçu du processus.
Fonctionnement des rapports rua et ruf
Comment DMARC impacte la délivrabilité ?
DMARC permet aux ISP de s'appuyer davantage sur la réputation du domaine. La bonne réputation du domaine contribue à distribuer les e-mails aux bons endroits, en particulier lors d'un envoi via des IP partagées. Tout domaine n'étant pas protégé par DMARC est vulnérable aux tentatives de pishing et de fraudes. Si votre domaine peut être compromis par un tiers, sa réputation en pâtira.
Mais ce n'est pas tout. Bon nombre d'expéditeurs emploient des méthodes de traçage de lien pour suivre les taux de clic. Certains de ces liens traçables partagent les mêmes caractéristiques que les liens utilisés dans les e-mails de pishing. Si les liens traçables sont mal conçus, vos e-mails peuvent atterrir dans le dossier spam ou être bloqués, sauf si DMARC est utilisé. DMARC empêche le fait que des e-mails mal conçus ou formatés soient considérés comme une tentative de pishing.
Configurer DMARC
Avant de protéger totalement votre domaine avec DMARC, il peut être utile de tester la bonne authentification de tous les e-mails que vous envoyez à partir de vos différents environnements. Pour ce faire, configurez une politique définie sur « aucun » ou « quarantaine » et activez le reporting. Vous devriez pouvoir lire les rapports que vous recevez afin de déterminer si votre authentification fonctionne comme vous le souhaitez.
Il existe des outils utiles pour visualiser les données des rapports agrégés, par exemple XML to Human Converter.
Une fois que vous avez le certitude que SPF et DKIM sont parfaitement alignés sur l'ensemble de l'infrastructure concernée, vous pouvez changer la politique et choisir « rejeter » en toute sécurité. Les enregistrements DMARC sont valides pour tous les sous-domaines du domaine avec lequel il est configuré. Par exemple, un enregistrement DMARC standard sur exemple.com s'applique également à sous-domaine.exemple.com. Pour une protection optimale de votre marque, il est recommandé de configurer DMARC sur le plus haut niveau de domaine possible.
Résolution des problèmes
Articles de résolutions des problèmes relatifs à DMARC :
