Le 3 octobre 2023, Google et Yahoo ont annoncé un nouvel ensemble d'exigences pour la délivrabilité des e-mails qui deviendront obligatoires d'ici février 2024.
Pour les expéditeurs qui envoient plus de 5 000 e-mails par jour à des adresses Gmail, Google exigera qu'un ensemble de mesures d'authentification soit respecté afin de garantir une délivrabilité sécurisée des e-mails vers ses boîtes de réception. Bien que Yahoo n'indique pas d'exigence minimale d'envoi, il s'alignera sur les critères de Google.
Les exigences suivantes seront appliquées :
- Mise en œuvre de SPF + DKIM
- Envoi avec un domaine `From` aligné dans les domaines SPF ou DKIM
- Envoi depuis un domaine avec une politique DMARC d'au moins p=none
- Utilisation d'une connexion TLS pour la transmission des e-mails (ajouté comme exigence en décembre 2023)
- DNS direct et inverse valides (FCrDNS)
- Désabonnement en un clic (RFC 8058)
- Faible taux de signalement de spam
Toutes les exigences sont détaillées dans l'article d'aide de Google.
La position commune de Google et Yahoo promet un bouleversement majeur en matière de sécurité des e-mails, garantissant des boîtes de réception mondiales plus sûres grâce à l'application de meilleures pratiques reconnues par l'industrie.
“We firmly believe that users worldwide deserve a more secure email environment, with fewer unwanted messages for an improved overall experience. We look forward to working with peers across the industry to boost the adoption of these email standards that benefit everyone.” Neil Kumaran, Group Product Manager, Gmail Security & Trust
Qu'est-ce que cela signifie pour les expéditeurs ?
Le non-respect de ces exigences signifie que les e-mails envoyés aux boîtes de réception Gmail et Yahoo ne seront pas délivrés. Si l'on considère que les 1,8 milliard de boîtes de réception de Gmail représentent près d'un quart de la population mondiale utilisant les e-mails, ces mesures d'application auront de graves conséquences pour les entreprises non conformes qui dépendent des e-mails pour leurs opérations.
La bonne nouvelle est que ces exigences sont déjà considérées comme des meilleures pratiques dans tout l'écosystème des e-mails. Elles utilisent des standards ouverts accessibles à tous, tels que SPF, DKIM et DMARC, qui peuvent être mis en œuvre rapidement et en toute sécurité avec la bonne solution. Pour les entreprises qui n'ont pas encore mis en place ces mesures, il n'y a jamais eu de meilleur moment pour prendre de l'avance et être prêtes pour le mandat de Google et Yahoo.
Quels sont les avantages de ces changements ?
Nous sommes ravis que l'industrie de l'e-mail s'unisse et défende ces changements, car une authentification e-mail solide a toujours joué un rôle essentiel dans les opérations commerciales basées sur l'e-mail. En effet, la mise en œuvre de protocoles de sécurité des e-mails comme SPF, DKIM et DMARC est le seul moyen efficace de protéger la réputation de votre entreprise contre les attaques de phishing basées sur l'usurpation exacte de domaine.
Pour approfondir un peu ce sujet, DMARC est le protocole de sécurité des e-mails qui bloque les attaques d'usurpation exacte de domaine. Il permet aux propriétaires de domaines de reprendre le contrôle de leur identité e-mail en indiquant aux boîtes de réception de rejeter les e-mails usurpés, c'est-à-dire lorsqu'un acteur malveillant se fait passer pour vous afin d'envoyer des e-mails de phishing à vos employés, clients et partenaires de la chaîne d'approvisionnement.
C'est ce même protocole auquel Google fait référence dans sa dernière mise à jour, où il déclare que DMARC n'est plus une recommandation de bonne pratique mais une exigence incontournable :
“Many bulk senders don’t appropriately secure and configure their systems, allowing attackers to easily hide in their midst. To help fix that, we’ve focused on a crucial aspect of email security: the validation that a sender is who they claim to be.” New Gmail protections for a safer, less spammy inbox
Malheureusement, les protocoles de sécurité des e-mails sont souvent entourés de mythes et considérés comme trop difficiles à déployer, confus, ou nécessitant beaucoup de travail manuel. Cependant, avec l'aide d'une application DMARC automatisée qui vous montre des informations exploitables et fournit des conseils étape par étape, vous pourriez atteindre une protection complète en aussi peu que 6 semaines et devenir conforme aux nouvelles exigences de Google et Yahoo. Bien que cela nécessite un certain niveau d'engagement, il s'agit simplement du travail à court terme requis pour que les entreprises assurent un gain à long terme : des communications e-mail sécurisées avec les employés, les clients et les partenaires, ainsi qu'une meilleure délivrabilité des e-mails.
Avec Google et Yahoo qui font de l'authentification des e-mails une exigence, nous espérons que ces mythes seront démystifiés et que le déploiement des protocoles de sécurité des e-mails recommandés sera considéré comme une initiative essentielle à l'entreprise, adoptée aussi bien par les PME que par les grandes entreprises.
Vous voulez vérifier si vous êtes prêt pour les changements à venir de Google et Yahoo ?
Si vous souhaitez un moyen simple de vous assurer que vos domaines d'envoi d'e-mails sont prêts pour le 1er février 2024, Red Sift facilite les choses.
En seulement 3 minutes, notre outil Investigate gratuit vérifie votre conformité par rapport aux exigences de Google et Yahoo et fournit une répartition visuelle précise de ce que vous devez faire. Il vous suffit d'envoyer un e-mail à l'adresse unique que nous vous fournissons et d'attendre vos résultats ! En testant votre service spécifique d'envoi d'e-mails, Investigate peut s'assurer que le FCrDNS est correctement configuré, qu'il existe un alignement DKIM ou SPF et que la clé DKIM est valide, autant d'éléments essentiels pour répondre aux exigences de Google et Yahoo.
Exemple de cartes de l'outil Investigate de Red Sift
To check your Google and Yahoo readiness and fix any issues that exist, try our free Investigate tool now.
Red Sift garantit le succès de la sécurité des e-mails pour plus de 1 000 organisations à travers le monde – et peut vous aider aussi
L'application DMARC automatisée de Red Sift, OnDMARC, permet aux entreprises du monde entier de mettre en œuvre DMARC facilement, rapidement et en toute sécurité, protégeant ainsi les communications e-mail professionnelles avec les clients, fournisseurs et partenaires en bloquant la fraude aux fournisseurs, les prises de contrôle de comptes et l'usurpation d'e-mails.
Pour commencer la mise en œuvre de votre DMARC, contactez-nous pour parler à un expert.
Francesca Rünger-Field is Senior Product Marketing Manager at Red Sift, where she drives go-to-market strategy and product positioning across the company's product portfolio.