Méthodes d'authentification des e-mails - les bases de SPF, DKIM, DMARC et BIMI.

Authentification des e-mails - qu'est-ce que c'est ?

Authentification du courrier électronique est le système conçu pour protéger votre réputation en vérifiant, lorsque vous envoyez une campagne de courrier électronique, que vous êtes bien celui que vous prétendez être. Les quatre concepts sont assez simples, mais le paramétrage de chacune des méthodes peut être délicat. Cependant, la protection offerte lorsqu'elles sont combinées est aussi bonne que ce que vous pouvez mettre en place avec nos systèmes actuels.

Quelles sont les méthodes possibles ?

Les quatre méthodes typiques d'authentification du courrier électronique sont aujourd'hui les suivantes :

1. SPF - Sender Policy Framework
   Cette norme effectue la vérification initiale pour s'assurer que chaque courriel provient d'une adresse IP de confiance.
2. DKIM - DomainKeys Identified Mail (courrier identifié par des clés de domaine)
   Un autre contrôle d'identité, mais cette fois en utilisant une clé de chiffrement comme signature numérique.
3. DMARC - Domain Message Authentication Reporting and Conformance (rapport et conformité de l'authentification des messages de domaine)
   DMARC veille à ce que le courrier électronique réponde aux critères SPF et DKIM avant d'être livré.
4. BIMI - Indicateurs de marque pour l'identification des messages
   BIMI effectue une dernière vérification, en se concentrant sur la crédibilité de l'expéditeur et en affichant l'image de marque de l'expéditeur dans la boîte de réception du destinataire (lorsque cela est actuellement possible).

Nous allons examiner plus en détail chacun d'entre eux un peu plus loin, mais nous allons d'abord vous expliquer pourquoi ils sont si importants et vous expliquer un peu comment ils fonctionnent.

Comment fonctionne l'authentification des e-mails ?

Chacune des méthodes d'authentification (SPF DKIM DMARC BIMI) applique une couche de sécurité à vos messages électroniques en utilisant votre domaine de messagerie pour vérifier que vous êtes bien celui que vous prétendez être.

1. L'expéditeur définit la politique/les règles d'authentification de son domaine.
2. Ils configurent ensuite le DNS du domaine et les serveurs de messagerie pour mettre en œuvre ces règles.
3. Les serveurs des destinataires vérifient le courrier électronique entrant en le comparant aux règles fixées dans le DNS du domaine.
4. En cas d'authentification, le serveur du destinataire traite le courriel en toute sécurité ; si l'authentification échoue, le message est bloqué, mis en quarantaine ou géré conformément à la décision d'authentification.

Quels sont les avantages ?

Comme vous pouvez le constater, si vous ne configurez pas l'authentification de vos courriels, vous risquez de voir les courriels rejetés, le taux de spam augmenter et le taux de livraison diminuer.

Vos messages soigneusement réfléchis, magnifiquement conçus et créés ont beaucoup moins de chances d'atterrir dans les boîtes de réception auxquelles ils sont destinés.

Pire encore, si vos méthodes d'authentification des e-mails ne sont pas en place, votre marque est beaucoup plus facile à usurper, ce qui vous expose, vous et vos clients, à des attaques par e-mail, des piratages et des hameçonnages.

Configuration de l'authentification des e-mails

Pour configurer votre domaine afin de gérer chaque méthode d'authentification, vous devez avoir accès aux paramètres DNS (Nom de domaine ) par l'intermédiaire de votre service d'enregistrement de domaines.

Une fois que vous aurez accédé aux paramètres DNS, vous ajouterez divers enregistrements TXT et CNAME à votre domaine.

Pour connaître les valeurs des paramètres de votre domaine, vous devez vérifier auprès de vos hôtes de messagerie. Ils vous fourniront les paramètres de vos enregistrements SPF, généreront votre sélecteur DKIM à partir de leur zone d'hébergement et vous montreront comment mettre en œuvre votre politique DMARC, car les hôtes diffèrent souvent dans leur configuration.

Vous ajouterez un autre enregistrement TXT pour inclure un enregistrement BIMI, y compris le chemin d'accès à votre marque. fichier image.

SPF - Sender Policy Framework

SPF est l'authentification standard créée aux premiers jours du développement du courrier électronique. Alors qu'elle convenait aux premiers systèmes de courrier électronique, elle pose plusieurs problèmes aux méthodes de courrier modernes. C'est pourquoi il est nécessaire d'utiliser les quatre méthodes pour offrir une forme de couverture complète.

Les enregistrements SPF sont stockés en texte clair au sein du DNS du domaine et dictent le Adresses IP ayant la permission d'envoyer à partir du domaine.

Lorsque le serveur de messagerie du destinataire effectue une consultation DNS pour récupérer l'enregistrement SPF, il utilise la valeur dans le chemin de retour du message.

Problèmes avec l'authentification SPF

Syntaxe - Bien qu'il s'agisse d'enregistrements de texte, les La syntaxe peut devenir compliquée lors de la saisie des enregistrements DNS.. S'ils ne sont pas précis, l'authentification échouera, même si le message et l'expéditeur sont authentiques.

Identification des adresses IP autorisées - Les systèmes partagés, tels que les plateformes en nuage, peuvent héberger plusieurs services avec des adresses IP attribuées dynamiquement. Bien que l'IP puisse être déterminée et autorisée, n'importe qui d'autre peut également utiliser la même IP partagée en utilisant votre enregistrement SPF.

SPF peut être usurpé - SPF utilise le champ caché du chemin de retour pour l'authentification, et non le champ "de", que les destinataires peuvent clairement voir. Un pirate, qui cherche à obtenir des informations par hameçonnage, peut présenter un domaine et une adresse électronique d'apparence valide dans le champ "de", mais avoir sa propre adresse électronique comme chemin de retour, en utilisant son propre système d'authentification pour passer les contrôles du serveur.

SPF ne prend pas en charge le transfert d'e-mails - Un serveur destinataire ne validera pas un message transféré car le domaine d'identification semble être celui du serveur de transfert et non le domaine d'origine.

Comme vous le voyez, ce qui était autrefois une méthode acceptable présente aujourd'hui des lacunes importantes. Elle fournit les bases sur lesquelles on peut s'appuyer pour améliorer la sécurité globale. Cependant, en tant que méthode autonome, elle n'est plus adaptée à la technologie d'aujourd'hui.

DKIM - DomainKeys Identified Mail (courrier identifié par des clés de domaine)

DKIM utilise un cryptage à clé publique/privée pour signer les messages électroniques. Il vérifie que les messages ont été envoyés par le domaine et qu'ils n'ont pas été modifiés en cours de route.

Il s'agit d'une méthode d'authentification plus sûre, car elle permet de s'assurer que le message n'a pas été modifié au cours de sa transmission. Un autre avantage est que l'authentification DKIM survit aux transferts d'e-mails.

Le propriétaire du domaine crée des clés cryptographiques par paires : publique et privée. La clé publique est placée dans un enregistrement TXT sur le DNS du domaine. Lorsqu'un courriel est envoyé, un "hash" est généré sur la base de la clé publique. le contenu du message. Ce hachage est crypté avec la clé privée du domaine et joint à l'en-tête de l'e-mail.

Le serveur de messagerie du destinataire lit les informations cryptées à l'aide de la clé publique hébergée dans le DNS, et si tout concorde, l'authentification est accordée.

Sélecteurs DKIM

Chaque domaine peut utiliser plusieurs sélecteurs. Ces valeurs sont utilisées pour identifier des propriétés uniques, par exemple des sous-domaines, des utilisateurs, des emplacements et des services. Chaque sélecteur fonctionne à l'aide de sa propre clé publique, renonçant ainsi à une clé unique et partagée pour toutes les éventualités.

Problèmes avec l'authentification DKIM

Signatures non concordantes - Une signature DKIM valide peut utiliser un domaine complètement différent de celui indiqué dans le champ "from". Le hameçonnage à partir d'un autre domaine de courrier électronique est donc un jeu d'enfant. processus.

Sécurité des clés - Un pirate signant des messages en utilisant le domaine d'un autre utilisateur pourrait faire valider parfaitement ses courriels en utilisant la clé privée de ce domaine.

Mise en œuvre et gestion des clés - Les clés longues et plus sûres peuvent poser des problèmes lorsqu'elles sont appliquées au DNS du domaine. Ces longues chaînes de données peuvent facilement être mal appliquées, même lors d'un copier-coller.

Pour tirer le meilleur parti de DKIM, il faut l'associer à DMARC, ce qui met en jeu le domaine utilisé dans le champ "from". Vous pouvez maintenant voir comment chaque système dépend de sa méthode précédente pour créer un système d'authentification complet et efficace.

DMARC - Domain Message Authentication Reporting and Conformance (rapport et conformité de l'authentification des messages de domaine)

Comme nous l'avons déjà mentionné, DMARC impose l'utilisation du domaine défini dans le champ " from " à prévenir les pirates et les attaquants qui utilisent des domaines alternatifs pour contourner les contrôles de sécurité.

Il comprend également un mécanisme de rapport qui permet à l'expéditeur de décider ce qu'il doit faire des résultats de l'authentification. L'enregistrement DMARC contrôle où et comment les serveurs destinataires envoient les rapports.

En effet, DMARC comble les lacunes entre SPF et DKIM et améliore la délivrabilité des e-mails. Les spammeurs ne peuvent plus utiliser à mauvais escient ces domaines protégés ; par conséquent, la réputation du domaine se renforce, ce qui améliore sans cesse les taux de délivrabilité.

Application de la norme DMARC

L'enregistrement DMARC dicte ce qu'il faut faire avec les courriels qui ne sont pas autorisés. La politique a trois résultats : ne rien faire, mettre en quarantaine ou rejeter. Un rapport DMARC avertit le détenteur du domaine de l'origine de ces messages non autorisés, lui fournissant des informations essentielles sur la violation et sur ce qu'il peut faire pour prendre des mesures de protection supplémentaires.

BIMI - Indicateurs de marque pour l'identification des messages

On espère que l'inclusion de l'authentification des courriels par BIMI permettra d'augmenter de 10% l'engagement grâce à la facilité de livraison - un chiffre à ne pas prendre à la légère.

Étant donné que cette méthode d'authentification n'en est qu'à ses débuts et que de nombreux fournisseurs de services de messagerie électronique ne l'ont pas encore introduite, les utilisateurs peuvent prendre plusieurs mesures pour s'assurer qu'ils sont prêts pour le grand déploiement lorsqu'elle arrivera enfin sur nos serveurs.

Une chose est sûre, étant donné que Google inclut l'intégration du BIMI dans G Suite, ce ne devrait être qu'une question de temps avant que le reste du monde ne rattrape son retard.

Comment se préparer au BIMI ?

Pour activer l'authentification des e-mails BIMI, vous devez d'abord authentifier vos e-mails avec SPF, DKIM et DMARC, en assurant l'alignement (le domaine est le même partout). La politique DMARC doit être appliquée à la quarantaine ou au rejet, et le DNS du domaine doit avoir l'enregistrement BIMI correct.

Vous devrez également héberger un fichier logo approprié en tant que lien pour que l'authentification résultante s'affiche dans les boîtes de réception de vos destinataires. Votre logo devra être au bon format SVG et éventuellement accompagné d'un VMC (Verified Mark Certificate) pour authentifier le fichier.

Authentification complète pour vos campagnes d'emailing

Nous avons appris que chacune de ces méthodes ne constitue pas à elle seule une solution unique pour vous simplifier la vie. Cependant, avec un peu de travail pour rassembler tous les systèmes en un seul, vous serez beaucoup plus sûr de la livraison de vos produits et services. campagnes d'emailing et de messages que vous pourriez jamais être sans eux.

Cela vaut la peine de consacrer du temps et des efforts si cela garantit la protection de votre service, de votre abonnés et améliore la connectivité et le rendement de votre marketing.