Authentification des e-mails : Comment ça marche, importance et protocoles

Imaginez recevoir des e-mails de n'importe qui sans savoir si l'expéditeur est légitime. Comment sauriez-vous lesquels sont dignes de confiance ? À quels e-mails répondriez-vous et pourquoi ?

Distinguer entre les e-mails frauduleux et légitimes pourrait dérouter n'importe qui. Heureusement, l'authentification des e-mails gère la plupart du travail de fond.

Elle aide les fournisseurs de messagerie à déterminer si un e-mail provient de la personne qui prétend l'avoir envoyé. Si le fournisseur est convaincu que l'expéditeur est bien celui qu'il prétend être, les chances augmentent que le fournisseur livre l'e-mail au destinataire prévu.

Les fournisseurs considèrent le Domain-based Message Authentication, Reporting, and Conformance (DMARC) comme l'un des meilleurs protocoles d'authentification des e-mails. Les organisations utilisent le logiciel DMARC pour vérifier que les e-mails de leur domaine d'entreprise sont authentifiés selon les normes DomainKeys Identified Mail (DKIM) et Sender-Policy Framework (SPF).

Pourquoi l'authentification des e-mails est-elle nécessaire ?

L'authentification des e-mails vise à prévenir les activités frauduleuses évidentes, comme les tentatives d'escroquerie, mais il existe des raisons plus subtiles pour lesquelles les organisations devraient donner la priorité à des techniques d'authentification des e-mails efficaces.

Elle réduit le risque de tentatives de phishing et de spoofing

La mise en œuvre de l'authentification des e-mails aide à réduire le risque de phishing et de spoofing. Sans pratiques d'authentification des e-mails, n'importe qui pourrait envoyer des e-mails à qui il veut à tout moment. Bien que cela se produise encore occasionnellement, il serait presque impossible de déterminer si une personne qui vous envoie un e-mail est bien celle qu'elle prétend être sans preuve d'identification.

Elle améliore la délivrabilité des e-mails

L'authentification des e-mails tente de détecter les spams et autres messages suspects. Un e-mail non authentifié est plus susceptible d'être signalé comme spam ou rejeté entièrement. Augmenter les chances de délivrabilité de vos e-mails contribue grandement à garantir que nos e-mails atteignent les bonnes personnes.

Elle protège l'image de marque

Trop souvent, une personne aux intentions douteuses crée une adresse e-mail similaire à celle d'une organisation afin de se présenter comme un employé et de commettre des comportements frauduleux comme demander des cartes-cadeaux ou de l'argent pour des affaires "urgentes". L'e-mail peut ne différer que par un ou deux caractères.

Des situations comme celles-ci peuvent nuire à la réputation et à l'image d'une marque. Les entreprises peuvent perdre la confiance de leurs clients actuels et potentiels. Bien que ces situations ne soient pas entièrement évitables, l'authentification des e-mails peut aider à réduire leur probabilité.

Protocoles d'authentification des e-mails

L'authentification des e-mails fonctionne en vérifiant la légitimité d'un expéditeur d'e-mail à l'aide des enregistrements du système de noms de domaine (DNS). Les trois principales méthodes d'authentification des e-mails les plus utilisées, chacune avec des niveaux de sécurité et de configuration DNS variables, sont mentionnées ci-dessous.

Sender Policy Framework

SPF indique aux serveurs de messagerie qui peut envoyer des e-mails au nom d'un domaine. Cette méthode permet aux propriétaires de domaine de spécifier quelles adresses IP ils considèrent comme fiables.

Les enregistrements SPF fonctionnent comme suit :

• Vous activez SPF pour votre domaine et ajoutez votre enregistrement aux paramètres DNS de votre domaine.
• Ensuite, un utilisateur de votre domaine envoie un e-mail à un destinataire prévu.
• Le fournisseur du destinataire prévu vérifie l'enregistrement SPF pour vérifier la source et la légitimité de cet e-mail en déterminant s'il provient d'une adresse IP approuvée.
• Le fournisseur de messagerie établit si l'e-mail doit passer au destinataire et atterrir dans sa boîte de réception ou aller dans le dossier spam.

Source : Mailtrap

Bien que les enregistrements SPF soutiennent l'authentification, ils ne sont pas infaillibles ou précis tout le temps, ce qui signifie que des e-mails de spam pourraient se retrouver dans la boîte de réception du destinataire et que des messages légitimes pourraient aller dans le spam. Les e-mails transférés peuvent également provoquer des échecs d'authentification car un utilisateur transfère le message depuis une nouvelle adresse IP pour la première fois. Il est probable qu'elle ne soit pas incluse dans l'enregistrement SPF de l'expéditeur d'origine.

DomainKeys Identified Mail

DKIM utilise la cryptographie à clé publique et privée pour vérifier la légitimité d'un expéditeur d'e-mail pour son domaine. Pour la vérification, il correspond à une clé publique stockée dans les enregistrements DNS avec une clé privée dans l'e-mail, similaire à une signature numérique unique.

Voici comment fonctionne DKIM :

• La clé publique est stockée dans les enregistrements DNS du domaine afin que les serveurs récepteurs puissent y accéder.
• Un utilisateur envoie un e-mail à un destinataire prévu. DKIM "signe" automatiquement l'e-mail avec une clé privée.
• Le fournisseur récepteur accède à la clé publique dans les paramètres DNS et tente de la faire correspondre à la clé privée dans l'e-mail.
• Si les clés correspondent, le fournisseur authentifie l'e-mail et le livre en toute confiance au destinataire prévu.

Source : Mailtrap

Contrairement aux enregistrements SPF, les signatures DKIM ne sont généralement pas affectées par le transfert de courrier tant que le transmetteur ne modifie pas radicalement le contenu de l'e-mail.

Domain-based Message Authentication, Reporting, and Conformance

DMARC s'appuie sur les méthodes de validation SPF et DKIM pour permettre aux propriétaires de domaine de spécifier des politiques pour les e-mails qui échouent aux points de vérification. En d'autres termes, DMARC tente de vérifier un e-mail, et s'il ne peut pas, il détermine comment gérer l'e-mail en fonction de ce que le propriétaire du domaine a défini dans les politiques.

Voici comment fonctionne DMARC :

• Un utilisateur envoie un e-mail depuis un domaine d'entreprise avec une politique DMARC.
• Le serveur de messagerie du destinataire effectue des vérifications SPF et DKIM pour valider si l'expéditeur est autorisé à envoyer un e-mail au nom de ce domaine.
• Pendant ce processus, DMARC recherche :
  • Passage DKIM
  • Passage SPF
  • Alignement DKIM, ce qui signifie que le domaine de la signature DKIM correspond au domaine dans l'en-tête "De :"
  • Alignement SPF, ce qui signifie que le domaine dans l'en-tête "De :" correspond au domaine dans l'enregistrement SPF
• Si l'e-mail passe DMARC, le destinataire recevra l'e-mail.
• Si l'e-mail échoue à DMARC, le serveur de messagerie du destinataire peut déterminer comment gérer les tests échoués en fonction de ce que spécifie la politique du propriétaire du domaine, ce qui inclut les éléments suivants.
  • Rejeter l'e-mail et le supprimer complètement
  • Mettre l'e-mail en quarantaine en l'envoyant dans le spam
  • Aucune action ; e-mails livrés

Source : Mailtrap

Pour que DMARC passe, SPF ou DKIM doit réussir le contrôle et le domaine utilisé par SPF ou DKIM doit s'aligner avec le domaine de l'adresse de l'expéditeur de l'e-mail dans la ligne "De :". Les résultats possibles incluent :

• Si les contrôles SPF et DKIM réussissent et s'alignent, DMARC passe.
• Si SPF réussit et s'aligne, et que DKIM ne réussit pas ou ne s'aligne pas, DMARC passe.
• Si DKIM réussit et s'aligne, et que SPF ne réussit pas ou ne s'aligne pas, DMARC passe.
• Si SPF réussit mais ne s'aligne pas, et que DKIM ne réussit pas ou ne s'aligne pas, DMARC échoue.
• Si DKIM réussit mais ne s'aligne pas, et que SPF ne réussit pas ou ne s'aligne pas, DMARC échoue.
• Si SPF et DKIM échouent, DMARC échoue.

Si vous souhaitez explorer davantage DMARC et l'essayer avec votre domaine, consultez la console "Apprendre et Tester DMARC" comme un excellent point de départ. Vous pouvez envoyer un e-mail et suivre une démonstration visuelle de la façon dont les serveurs de messagerie communiquent et effectuent les vérifications SPF, DKIM et DMARC.

Comment effectuer une vérification d'authentification des e-mails

Effectuer régulièrement des vérifications d'authentification des e-mails garantit que votre configuration fonctionne correctement et que vos e-mails sont sécurisés et validés. Il existe plusieurs étapes que vous pouvez suivre pour vérifier l'authentification des e-mails. En voici quelques-unes :

• Utilisez des outils dédiés pour tester l'authentification des e-mails. Vous pouvez choisir des outils comme MxToolbox pour voir comment votre configuration SPF, DKIM et DMARC fonctionne. Si vous utilisez Gmail, le tableau de bord Google Postmaster Tools peut aider à surveiller l'authentification et les informations sur les e-mails sortants.
• Envoyez un e-mail de test depuis le domaine que vous souhaitez tester. Dans Gmail, ouvrez le message, cliquez sur "plus" à côté de l'icône de réponse, et sélectionnez "afficher l'original". Cela affichera les en-têtes de message complets, y compris les résultats d'authentification SPF, DKIM et DMARC. Si tous les protocoles affichent "PASS", votre configuration est correcte.
• Examinez vos journaux pour détecter toute erreur liée à DKIM afin de repérer et de corriger tout problème avec votre configuration.

Marqué comme spam

Les fournisseurs de messagerie utilisent l'authentification des e-mails pour valider l'expéditeur d'un e-mail. Lorsque vous n'authentifiez pas les adresses e-mail de votre domaine, vos e-mails peuvent ne pas atteindre votre destinataire prévu. Protégez-vous et votre organisation contre les tentatives de phishing et une réputation endommagée avec SPF, DKIM et DMARC.

Sachez comment reconnaître les attaques de phishing pour pouvoir les prévenir.