Qu'est-ce que le DMARC et comment le met-on en œuvre ?

Le 3 octobre 2023, Google et Yahoo ont fait une annonce concernant de nouveaux prérequis de livraison d'e-mails qui seront obligatoires d'ici février 2024. Pour les expéditeurs envoyant plus de 5 000 e-mails par jour aux adresses Gmail, Google exigera la mise en place d'un ensemble de mesures d'authentification pour assurer une livraison sécurisée des e-mails dans les boîtes de réception Gmail. Bien que Yahoo n'ait pas spécifié de seuil d'envoi minimum, il se conformera aux critères de Google.

Les exigences prescrites comprennent :

• Mise en œuvre à la fois de SPF et de DKIM

• Envoi d'e-mails avec un domaine 'From' correspondant aux domaines SPF ou DKIM

• Envoi à partir d'un domaine avec une politique DMARC d'au moins p=none

• DNS valide et inversé (FCrDNS)

• Incorporation d'un mécanisme de désabonnement en un clic (RFC 8058)

• Maintien d'un faible taux de signalement de spam

Pour une liste détaillée des exigences, vous pouvez vous référer à l'article d'aide de Google. Bien que CM.com supervisera la plupart des exigences obligatoires, nous avons besoin de votre aide pour ajouter le DMARC.

Qu'est-ce que le DMARC ?

Le DMARC (Domain-based Message Authentication, Reporting & Conformance) est un protocole d'authentification des e-mails conçu pour donner aux propriétaires de domaines e-mail la possibilité de protéger leur domaine contre une utilisation non autorisée, connue sous le nom de spoofing d'e-mail. Le DMARC permet à un propriétaire de domaine de publier une politique dans ses enregistrements DNS spécifiant les mécanismes (par exemple, SPF, DKIM) utilisés pour authentifier les messages e-mail envoyés depuis son domaine, et fournit également un mécanisme pour recevoir des rapports de messages qui réussissent ou échouent à l'évaluation DMARC.

Comment mettre en œuvre le DMARC ?

La mise en œuvre du DMARC implique plusieurs étapes :

Effectuer un audit de l'infrastructure e-mail de votre domaine

Avant de pouvoir mettre en œuvre le DMARC, vous devez avoir une bonne compréhension de la manière dont les e-mails sont envoyés depuis votre domaine. Cela comprend l'identification de tous les serveurs et applications qui envoient des e-mails au nom de votre domaine, ainsi que tous les services tiers utilisés pour envoyer des e-mails.

Configurer SPF et DKIM

Le DMARC s'appuie sur des mécanismes d'authentification e-mail existants tels que SPF (Sender Policy Framework) et DKIM (DomainKeys Identified Mail). Ces protocoles vous permettent de spécifier quels serveurs sont autorisés à envoyer des e-mails au nom de votre domaine, et de signer cryptographiquement les messages e-mail pour prouver qu'ils ont été envoyés depuis votre domaine.

Publier une politique DMARC

Une fois que vous avez configuré SPF et DKIM, vous pouvez créer une politique DMARC qui spécifie comment les destinataires d'e-mails doivent gérer les messages qui échouent à l'évaluation DMARC. La politique est publiée dans les enregistrements DNS de votre domaine.

Surveiller les rapports DMARC

Une fois que vous avez publié une politique DMARC, les destinataires d'e-mails commenceront à vous envoyer des rapports sur la manière dont les e-mails de votre domaine sont traités. Ces rapports fourniront des informations sur les messages qui réussissent ou échouent à l'évaluation DMARC, ainsi que d'autres détails sur les messages.

Agir en fonction des rapports DMARC

Analysez les données des rapports DMARC pour identifier les problèmes éventuels de spoofing d'e-mail et prendre les mesures appropriées.

Surveiller et mettre à jour votre politique DMARC

Surveillez l'efficacité de votre politique DMARC au fil du temps et apportez des ajustements si nécessaire.

Garder les enregistrements DNS à jour

Gardez vos enregistrements DNS à jour, au cas où vous apporteriez des modifications à votre infrastructure e-mail ou mettriez à jour votre politique DMARC.

Il est important de se rappeler que le DMARC est un processus continu qui nécessite une surveillance, une maintenance et des mises à jour constantes. Si vous n'êtes pas familier avec les détails techniques de l'infrastructure e-mail et DNS, il est recommandé de faire appel à un fournisseur de sécurité e-mail ou à un registraire de domaine proposant des services de mise en œuvre DMARC, ils peuvent vous aider à mettre en œuvre et à maintenir une politique DMARC pour votre domaine.

En mettant en œuvre le DMARC, les propriétaires de domaine peuvent protéger leur domaine contre une utilisation non autorisée et empêcher leur domaine d'être utilisé pour envoyer des e-mails indésirables ou des tentatives de phishing. Cela contribue à protéger la réputation du propriétaire du domaine et peut réduire la probabilité que son domaine soit placé sur liste noire par les fournisseurs de messagerie électronique. De plus, le DMARC peut aider à protéger les destinataires des messages e-mail envoyés depuis un domaine, en leur permettant d'identifier et de rejeter plus facilement les messages susceptibles d'être des spams ou des tentatives de phishing.

Comment créer un enregistrement DMARC

Pour ajouter un enregistrement DMARC à votre DNS, vous devrez créer un enregistrement TXT qui inclut votre politique DMARC. Le format de l'enregistrement DMARC est le suivant :

Cet enregistrement contient plusieurs règles différentes, chacune étant utilisée pour spécifier un aspect différent de votre politique DMARC. Voici une explication de chacune des règles dans l'exemple d'enregistrement :

• v=DMARC1 : Il s'agit de la version de DMARC utilisée.

• p=reject : Cette règle spécifie l'action que les destinataires d'e-mails doivent prendre lorsqu'un message échoue à l'évaluation DMARC. Dans cet exemple, l'action est "reject", ce qui signifie que les destinataires d'e-mails doivent rejeter les messages qui échouent à l'évaluation DMARC. (Cette action doit être mise en œuvre après avoir vérifié que tous les flux e-mails sont correctement authentifiés.)

• sp=none : Cette règle spécifie l'action que les destinataires d'e-mails doivent prendre lorsqu'un message échoue à l'évaluation DMARC mais que la politique du propriétaire de domaine est "none".

• pct=100 : Cette règle spécifie le pourcentage de messages qui doivent être soumis à l'évaluation DMARC. Dans cet exemple, 100% des messages seront soumis à l'évaluation DMARC.

• rua=mailto:[email protected] : Cette règle spécifie l'adresse e-mail à laquelle les rapports agrégés doivent être envoyés.

• ruf=mailto:[email protected] : Cette règle spécifie l'adresse e-mail à laquelle les rapports forensiques doivent être envoyés.

• fo=1 : Cette règle spécifie que le propriétaire de domaine souhaite recevoir un rapport d'échec lorsqu'un message échoue à l'évaluation DMARC mais réussit l'évaluation SPF ou DKIM.

• adkim=r : Cette règle spécifie que l'alignement strict doit être utilisé pour l'évaluation DKIM.

• aspf=r : Cette règle spécifie que l'alignement strict doit être utilisé pour l'évaluation SPF.

Une fois que vous avez créé votre enregistrement DMARC, vous devrez l'ajouter aux enregistrements DNS de votre domaine. Le processus d'ajout d'un enregistrement TXT à votre DNS variera en fonction de votre fournisseur de DNS, vous devrez donc consulter leur documentation pour des instructions spécifiques.

Qu'est-ce qu'un rapport DMARC ?

Le rapport DMARC comprend généralement les informations suivantes :

• Le domaine pour lequel le rapport a été généré

• La période de rapport (c'est-à-dire les dates de début et de fin des données du rapport)

• Le nombre de messages qui ont réussi ou échoué à l'évaluation DMARC pour le domaine

• Des informations sur les résultats d'authentification SPF et DKIM pour les messages

• Les adresses IP et autres informations d'identification des serveurs qui ont envoyé les messages

• Des détails supplémentaires sur les messages, tels que les lignes d'objet et les adresses de destinataire

L'analyse des rapports DMARC consiste à analyser les données des rapports pour comprendre comment les e-mails envoyés depuis un domaine sont authentifiés et à identifier d'éventuels problèmes de spoofing d'e-mail. Les rapports DMARC sont généralement envoyés au format XML, et les développeurs peuvent utiliser des bibliothèques d'analyse XML pour extraire les données des rapports.

Une fois que vous avez analysé le rapport DMARC et extrait les données, vous pouvez utiliser ces données pour identifier d'éventuels problèmes de spoofing d'e-mail, tels que des messages qui échouent à l'évaluation DMARC ou des messages provenant de sources inattendues.

Vous pouvez également utiliser les données pour surveiller l'efficacité de la politique DMARC de votre domaine au fil du temps et apporter des ajustements si nécessaire.

Un rapport DMARC contient généralement beaucoup d'informations, et il peut être assez complexe. Voici un exemple de rapport DMARC complet illustrant certains des éléments clés :

<feedback>
  <report_metadata>
    <org_name>example.com</org_name>
    <email>mailto:[email protected]</email>
    <extra_contact_info>https://example.com/dmarc</extra_contact_info>
    <report_id>1234567890</report_id>
    <date_range>
      <begin>2022-01-01</begin>
      <end>2022-01-31</end>
    </date_range>
  </report_metadata>
  <policy_published>
    <domain>example.com</domain>
    <adkim>r</adkim>
    <aspf>r</aspf>
    <p>reject</p>
    <sp>none</sp>
    <pct>100</pct>
  </policy_published>
  <record>
    <row>
      <source_ip>192.0.2.1</source_ip>
      <count>100</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>pass</dkim>
        <spf>pass</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>example.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>example.com</domain>
        <result>pass</result>
        <selector>selector1</selector>
      </dkim>
      <spf>
        <domain>example.com</domain>
        <result>pass</result>
      </spf>
    </auth_results>
    <extensions>
      <reason>
        <type>forwarded</type>
        <comment>This message was forwarded from another address.</comment>
      </reason>
      <reason>
        <type>autoreply</type>
        <comment>This message is an automatic reply.</comment>
      </reason>
    </extensions>
  </record>
  <record>
    <row>
      <source_ip>192.0.2.2</source_ip>
      <count>50</count>
      <policy_evaluated>
        <disposition>reject</disposition>
        <dkim>fail</dkim>
        <spf>fail</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>example.com</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>example.com</domain>
        <result>fail</result>
        <selector>selector1</selector>
      </dkim>
      <spf>
        <domain>example.com</domain>
        <result>fail</result>
      </spf>
    </auth_results>
    <extensions>

Voici une explication des principaux éléments du rapport exemple :

• <report_metadata> : Cette section fournit des informations sur l'organisation qui publie le rapport, telles que le nom de l'organisation et les informations de contact, l'ID de rapport unique et la plage de dates pour laquelle le rapport couvre.

• <policy_published> : Cette section comprend la politique DMARC qui a été publiée par le propriétaire du domaine pour le domaine en question. La valeur "p" de "reject" signifie que le propriétaire du domaine a instruit les destinataires d'e-mails de rejeter les messages qui échouent à l'évaluation DMARC, la valeur "pct" de "100" signifie que 100% des messages seront soumis à l'évaluation DMARC.

• <record> : Cette section comprend des informations sur les messages qui ont été envoyés pendant la période de rapport, telles que l'adresse IP du serveur qui a envoyé le message et le nombre de messages envoyés à partir de cette IP. La section <policy_evaluated> inclut également les résultats des évaluations SPF et DKIM pour le message, et la section <auth_results> inclut les détails des résultats d'authentification.

• <identifiers> : Cette section inclut le champ "from" de l'en-tête du message, c'est le domaine qui est revendiqué comme l'expéditeur.

• <extensions> : Cette section inclut des informations supplémentaires sur le message, telles que la raison du message, s'il s'agit d'une réponse automatique ou d'un message transféré par exemple.

• <reason> : Cette section inclut le type de raison du message et un commentaire.

Comme démontré, la mise en œuvre du DMARC est un processus complexe qui nécessite une bonne compréhension de l'infrastructure e-mail et DNS, mais il est crucial pour assurer la sécurité de votre entreprise et de votre domaine en protégeant contre une utilisation non autorisée et le spoofing d'e-mails.