19 mythes sur DMARC, démystifiés par les experts

Nous vivons à une époque d'innovation, où l'automatisation, l'intelligence artificielle, l'apprentissage automatique et d'autres technologies améliorent nos vies d'une manière que nos ancêtres ne pouvaient qu'imaginer. Mais malheureusement, nous vivons aussi à une époque de désinformation, ce qui signifie qu'il existe un réel danger que des mythes et des contre-vérités sabotent notre capacité à utiliser ces technologies pour le mieux.

Je travaille dans le domaine de DMARC depuis ses débuts, et dans cet article, j'ai creusé en profondeur pour démystifier 19 idées reçues et véritables mythes sur DMARC, afin que vous puissiez enfin comprendre DMARC et pourquoi il est essentiel pour votre entreprise.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) est la norme moderne d'authentification des emails utilisée par tous les principaux serveurs de messagerie (Office 365, Google Workspace, et les passerelles de messagerie sécurisées commerciales (SEG)) pour authentifier les emails sortants et entrants.

Aucune des SEG mentionnées ci-dessus ne se contentera de regarder SPF et/ou DKIM pour prendre des décisions de délivrabilité, car ces éléments ne fournissent pas suffisamment d'informations. Elles prendront plutôt en compte un certain nombre de facteurs comme DMARC, le taux d'engagement, etc.

Faux ! Les rapports DMARC vous donneront la visibilité nécessaire sur SPF et DKIM pour résoudre les problèmes d'authentification. La mise en place d'un enregistrement DMARC en mode surveillance (p=none) est la première étape de tout projet DMARC et vous donnera une visibilité sur les problèmes d'authentification des flux de messagerie autorisés, ainsi que sur toute activité de shadow IT et/ou d'usurpation.

O365 et Google Workspace vérifient l'authentification DMARC des emails entrants, mais ne fournissent pas de visibilité DMARC et ne vous aideront pas à amener vos propres domaines à l'application de DMARC (enforcement), ni à authentifier d'autres services cloud ou sur site qui envoient des emails en votre nom.

Il existe une différence essentielle entre la prise en charge de DMARC et la mise en œuvre de DMARC. Votre passerelle de messagerie sécurisée (SEG) assure la première fonction, et OnDMARC de Red Sift assure la seconde en hébergeant vos enregistrements SPF, DKIM, DMARC et BIMI – une capacité qui n'est proposée ni par O365, ni par Google Workspace, ni par d'autres fournisseurs DMARC.

DMARC est interopérable avec toute passerelle de messagerie, qu'elle soit sur site ou basée sur le cloud. DMARC est indépendant du flux de messagerie lui-même et constitue une entrée distincte dans le DNS par rapport aux enregistrements MX. Red Sift a mis en œuvre DMARC avec succès pour des clients utilisant Exchange, O365, Google Workspace, et toutes les passerelles de messagerie commerciales (par exemple Proofpoint, Mimecast, Ironport, MessageLabs, Barracuda, Sophos, etc.).

Encore faux, en réalité, DMARC donnera à vos emails marketing les meilleures chances de délivrabilité une fois correctement authentifiés. Le défi est que si vous mettez en œuvre DMARC sans d'abord identifier et authentifier tous les emails marketing, ils risquent d'être mis en quarantaine ou rejetés par inadvertance si vous passez à une politique d'application DMARC.

La meilleure façon de se protéger contre ce résultat potentiel est d'utiliser OnDMARC, qui identifie clairement toutes les sources d'emails marketing et vous permet de les authentifier en un seul clic.

Ce n'est absolument pas le cas, DMARC concerne tous les types d'entreprises, quelle que soit leur taille ! Chaque entreprise doit authentifier ses emails légitimes et bloquer l'usurpation et l'imitation non autorisées de ses domaines, ce qui peut être accompli en mettant en œuvre DMARC en application (enforcement). OnDMARC propose des tarifs et des offres adaptés à toute entreprise, quelle que soit sa taille, dans n'importe quel secteur d'activité.

DMARC est en réalité un projet transversal, et il est mené de la manière la plus efficace et la plus productive lorsqu'il existe une collaboration entre les équipes IT, Sécurité, Conformité et Marketing (oui, Marketing !). DMARC va effectivement stopper l'usurpation malveillante et le phishing qui exploitent des domaines de confiance, mais il permettra également d'identifier le shadow IT, d'améliorer la délivrabilité des emails légitimes, et d'augmenter les impressions de marque grâce à BIMI !

Il est vrai que tout projet DMARC devrait commencer en p=none. Cela permet d'obtenir la visibilité nécessaire pour apporter les modifications d'authentification nécessaires à l'application de DMARC. Mais certains utilisateurs pensent à tort que leur posture de sécurité est améliorée en ayant une politique DMARC en none. Ce n'est tout simplement pas le cas – si votre politique DMARC est « none », vous pouvez être usurpé exactement comme si vous n'aviez pas d'enregistrement DMARC du tout (vous aurez simplement une visibilité sur le sujet en consultant vos rapports !).

Ne vous laissez pas bercer par un faux sentiment de complaisance en pensant que vous êtes « en sécurité avec DMARC » avec une politique en none. Le parcours DMARC n'est tout simplement pas terminé tant que vous n'atteignez pas l'application de DMARC, c'est-à-dire une politique d'au moins quarantine (idéalement reject) sur tous vos domaines et sous-domaines organisationnels, avec un pct=100.

Il existe généralement 2 raisons principales pour lesquelles les entreprises abandonnent leurs projets DMARC :

1. Effectuer manuellement des modifications d'enregistrements d'authentification dans le DNS peut être chronophage, surtout s'il faut passer par un processus de contrôle des changements à chaque fois. L'aplatissement (flattening) manuel de SPF et sa maintenance peuvent également être complexes, sans garantie de succès.
2. L'incertitude quant au fait que tous les emails légitimes ont bien été identifiés et authentifiés, et qu'ils ne seront pas affectés par une politique DMARC de quarantine ou reject. (En essence, ne pas être sûr d'avoir correctement mis en œuvre DMARC, et craindre que des emails légitimes envoyés n'atteignent pas la boîte de réception de l'utilisateur).

Il est vrai que sans les bons outils, DMARC peut être une bête difficile à dompter. Mais avec un outil comme OnDMARC, vous avez la garantie d'atteindre une politique minimale de p=quarantine à 100 % en 6 à 8 semaines, et vous pouvez être sûr qu'elle est configurée correctement.

DMARC est en effet une spécification publique que n'importe qui peut mettre en œuvre gratuitement. Red Sift scanne des millions d'enregistrements DMARC chaque jour, et nous constatons que la plupart des projets DMARC réalisés en interne (« DIY ») restent bloqués en p=none et n'atteignent jamais l'application de DMARC. Cela signifie que ces entreprises restent sans protection face aux attaques d'usurpation, d'imitation et de phishing.

Bien que la spécification DMARC actuelle n'ait pas substantiellement changé depuis sa publication initiale en 2012 (nous en sommes toujours à la version 1), il existe des améliorations et des innovations disponibles pour les entreprises qui souhaitent exploiter au mieux l'automatisation afin d'authentifier leurs emails et d'atteindre pleinement l'application de DMARC.

OnDMARC s'appuie sur la spécification publique DMARC et y ajoute une intelligence qui n'est pas disponible dans une implémentation « DIY ». Par exemple, dans OnDMARC, notre fonctionnalité Dynamic DMARC permet aux entreprises d'héberger leurs enregistrements SPF, DKIM, DMARC et BIMI dans notre console après avoir effectué une modification unique du DNS. À partir de ce moment, toutes les modifications d'authentification sont effectuées dans OnDMARC, et non dans le DNS.

Nous récupérons également des données de criminalistique (forensics) non publiques et intégrons des renseignements sur les menaces pertinents provenant de plusieurs fournisseurs, ce qui rend OnDMARC bien plus précieux que l'analyse manuelle des rapports DMARC et la tentative d'en tirer des enseignements.

Cela ne sera pas une surprise, mais les rapports DMARC ne sont pas conçus pour être lisibles par un humain ! En fait, vous devez analyser (parser) les rapports DMARC d'une manière ou d'une autre pour en tirer du sens, puis ajouter des fonctionnalités de reporting, d'alerte et d'interprétation.

Franchement, dans le monde d'aujourd'hui, il n'est pas judicieux d'essayer de mettre en œuvre DMARC par vous-même – vous avez besoin d'une solution moderne comme OnDMARC pour prendre en charge le gros du travail de mise en œuvre et d'application de DMARC, avec une solution entièrement automatisée pour protéger votre domaine rapidement, facilement, en toute sécurité et à moindre coût.

Les rapports de criminalistique DMARC sont extrêmement utiles pour résoudre les problèmes d'authentification des flux de messagerie légitimes, ainsi que pour identifier les sources malveillantes d'emails. Mais toute information personnelle identifiable devrait être caviardée du rapport par le fournisseur de boîte mail d'origine, et OnDMARC effectuera un second caviardage pour garantir qu'aucune donnée privée ne soit jamais révélée.

La surveillance et la visibilité DMARC sont en effet devenues une commodité de nos jours, car de nombreux fournisseurs peuvent traiter les rapports DMARC pour le compte d'un domaine via une interface graphique. Ce qui n'est pas une commodité, c'est un processus reproductible, sûr, simple et efficace pour amener un domaine à l'application de DMARC en utilisant les dernières innovations en matière d'authentification d'emails hébergée et de canaux de données privées, une spécialité propre à OnDMARC.

C'est certainement un défi de gérer et de maintenir manuellement un enregistrement SPF à jour dans le monde actuel des services de messagerie cloud. Mais cela devient nettement plus simple avec les bons outils en main. OnDMARC possède plusieurs qualités clés qui facilitent grandement ce processus :

• Identification claire de toutes les sources d'emails, afin que les utilisateurs n'aient jamais à s'inquiéter d'avoir oublié un service légitime utilisé pour l'envoi d'emails, toutes les sources étant clairement étiquetées et reconnaissables grâce à notre intelligence unique des expéditeurs.
• Une fois les expéditeurs identifiés, les sources autorisées peuvent être authentifiées en un clic grâce à Dynamic SPF. Les anciens services qui ne sont plus utilisés peuvent être retirés, et l'enregistrement peut ainsi être facilement géré à l'avenir.
• La limite de 10 recherches SPF (lookups) peut également être évitée grâce à Dynamic SPF, l'enregistrement SPF étant aplati (flattened) dynamiquement et toujours syntaxiquement correct.

Bien que la plupart des passerelles de messagerie modernes utilisent DMARC comme norme d'authentification des emails, il existe une longue traîne de systèmes hérités qui utilisent encore SPF comme principal critère de filtrage des emails.

Dépasser la limite de 10 recherches signifie que votre enregistrement est techniquement rompu lorsqu'une boîte mail réceptrice effectue la vérification SPF. De plus, si votre enregistrement DMARC est en application (quarantine ou reject), vous risquez de bloquer des emails qui ne signent pas non plus avec DKIM. Votre email légitime aura les meilleures chances d'être délivré s'il s'authentifie correctement à la fois avec SPF et DKIM, et si l'enregistrement SPF ne dépasse pas 10 recherches.

Il existe une grande différence entre une politique DMARC en « none » (le réglage le moins sécurisé qui touche la plupart des domaines et les laisse sans protection) et un enregistrement DMARC en application (une politique de quarantine ou reject). Le simple fait d'« activer » DMARC avec une politique en « none » est une première étape nécessaire, mais n'améliore en rien votre posture de sécurité ni ne protège votre domaine contre l'usurpation d'identité (il n'y a pas de récompense simplement pour se présenter de cette manière !).

Pour achever votre parcours DMARC, vous devez atteindre une politique de quarantine ou reject avec un pct=100. Sinon, vous laissez toujours votre domaine grand ouvert à l'usurpation et au phishing.

Red Sift compte des clients avec des milliers de domaines surveillés et protégés dans OnDMARC. Ce n'est pas parce que vous avez un portefeuille de domaines étendu que vous devriez être dissuadé de lancer un projet DMARC. En fait, avoir davantage de domaines non protégés signifie que vous êtes une cible facile si vous n'utilisez pas DMARC en application, donc simplement essayer d'ignorer le problème parce que vous avez de nombreux domaines n'est pas la solution. *découverte de domaines*

OnDMARC propose un tarif et une offre adaptés à toute entreprise commerciale, agence gouvernementale ou organisation à but non lucratif, quelle que soit sa taille. En effet, vous pouvez acheter directement sur notre site web si vous avez moins de 50 employés. Nous utilisons l'automatisation dans la plus grande mesure possible, ce qui permet à nos clients de bénéficier de nos gains d'efficacité et de nos économies d'échelle.

Les domaines qui n'envoient pas d'emails peuvent être usurpés tout comme les domaines qui en envoient, et constituent des leurres particulièrement attrayants s'ils exploitent des marques, sites web, personnes et entreprises bien connus pour envoyer des emails de phishing et d'usurpation d'identité. Les destinataires d'emails malveillants provenant d'un domaine qui n'envoie pas d'emails ne réaliseront pas nécessairement, ni ne comprendront, que le domaine d'expéditeur n'est pas configuré pour envoyer des emails ; ils penseront simplement qu'il s'agit de vous si l'email est suffisamment convaincant et semble légitime, mettant ainsi en péril l'ensemble de votre marque et de votre réputation.

Voilà, vous avez maintenant un tour d'horizon complet de tous les mythes et légendes DMARC démystifiés. Mais ne nous croyez pas sur parole, pourquoi ne pas essayer OnDMARC ? Inscrivez-vous dès aujourd'hui pour votre essai gratuit !