SPF, DKIM et DMARC : les trois protocoles qui protègent votre boîte de réception (et pourquoi vous avez besoin des trois)

TL;DR : SPF, DKIM et DMARC - les trois protocoles qui protègent votre boîte de réception et pourquoi vous avez besoin des trois

Pourquoi les trois sont importants :

SPF et DKIM seuls ne suffisent pas à empêcher l'usurpation d'identité. Chaque protocole vérifie des en-têtes d'email différents : SPF vérifie le chemin de retour (return-path), DKIM valide le domaine d=, mais aucun des deux ne protège l'en-tête « From: » que les destinataires voient réellement. Les attaquants peuvent usurper votre domaine en définissant « From: votredomaine.com » tout en utilisant leur propre domaine pour SPF et DKIM.

Les trois protocoles :

• SPF : Vérifie que les adresses IP des serveurs d'envoi sont autorisées pour votre domaine
• DKIM : Signe cryptographiquement les emails pour confirmer leur authenticité et empêcher toute altération
• DMARC : Coordonne SPF et DKIM pour protéger l'en-tête « From: » visible et indique aux destinataires quoi faire des emails ayant échoué

En résumé :

DMARC est indispensable car c'est le seul protocole qui empêche l'usurpation exacte de domaine en garantissant l'alignement entre SPF/DKIM et l'adresse d'expéditeur vue par les destinataires. Les grands fournisseurs exigent désormais les trois protocoles pour les envois en masse, ce qui en fait le fondement de la sécurité email moderne.

L'email reste le pilier de la communication professionnelle. C'est aussi le vecteur d'attaque le plus exploité en cybersécurité, avec plus de 90 % des cyberattaques débutant par un email de phishing ou un domaine usurpé.

Si vous vous êtes déjà demandé pourquoi vos emails marketing légitimes finissent dans les dossiers spam, ou comment des attaquants peuvent envoyer des emails semblant provenir exactement de votre domaine, la réponse réside dans trois protocoles d'authentification email essentiels : SPF, DKIM et DMARC.

Comprendre comment ces protocoles fonctionnent ensemble est essentiel pour toute personne responsable de la sécurité email, de la délivrabilité, ou de la protection de son organisation contre les attaques de compromission de messagerie professionnelle (Business Email Compromise).

Le protocole SMTP (Simple Mail Transfer Protocol), fondement de la transmission des emails, a été officiellement qualifié d'« intrinsèquement non sécurisé » par le Network Working Group en 2008. Ce protocole permet à toute personne ayant des connaissances basiques en programmation d'usurper un domaine et d'envoyer des emails frauduleux sans autorisation.

Cette faille fondamentale signifie que, sans authentification adéquate, les attaquants peuvent facilement usurper des domaines légitimes. Le résultat est un email qui semble entièrement légitime, contourne les indicateurs de sécurité habituels, et atterrit directement dans la boîte de réception du destinataire.

Ces trois protocoles ont été développés pour pallier les lacunes de sécurité de l'email, mais chacun a un objectif distinct. Considérez-les comme des couches de défense travaillant ensemble pour vérifier l'identité de l'expéditeur et se protéger contre l'usurpation d'identité.

• SPF (Sender Policy Framework) autorise les serveurs de messagerie habilités à envoyer des emails au nom de votre domaine. Vous publiez un enregistrement SPF dans votre DNS qui liste les sources d'envoi approuvées. Lorsqu'un serveur de réception reçoit votre email, il vérifie si l'IP d'envoi correspond à votre liste autorisée. SPF est simple à mettre en œuvre mais présente des limites. Il ne fonctionne plus lorsque les emails sont transférés via des listes de diffusion, et il ne vérifie pas le contenu réel du message.
• DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique aux en-têtes de votre email, confirmant que le message n'a pas été altéré en transit. Votre serveur de messagerie associe une signature à clé privée à chaque email, et les serveurs de réception utilisent votre clé publique pour vérifier l'authenticité. DKIM résout le problème de transfert de SPF et confirme l'intégrité du message. Cependant, sa mise en place est plus complexe lorsqu'il y a plusieurs expéditeurs tiers, et les clés nécessitent une rotation périodique pour rester sécurisées.
• DMARC (Domain-based Message Authentication, Reporting & Conformance) est le protocole qui relie le tout. Il s'appuie sur SPF et DKIM pour créer une politique d'application, indiquant précisément aux serveurs de réception quoi faire en cas d'échec d'authentification. Avec DMARC, vous pouvez demander aux serveurs de messagerie de mettre en quarantaine les messages suspects ou de les rejeter purement et simplement. Plus important encore, DMARC offre une visibilité grâce à des rapports agrégés et forensiques, vous montrant qui envoie des emails en utilisant votre domaine et si ces messages passent l'authentification.

SPF et DKIM fonctionnent de manière indépendante, mais sans DMARC, ils peuvent être contournés. Les attaquants peuvent toujours usurper votre domaine de manière à passer les vérifications individuelles tout en échouant aux exigences d'alignement.

DMARC impose que le domaine figurant dans l'adresse « From » visible soit aligné avec les domaines authentifiés par SPF et DKIM. Ce n'est que lorsqu'au moins un de ces mécanismes réussit et s'aligne que DMARC considère le message comme légitime.

Ensemble, ces protocoles créent un cadre d'authentification complet qui protège contre l'usurpation exacte de domaine, réduit les risques de phishing, améliore la délivrabilité des emails, et fournit des informations exploitables sur votre écosystème email.

Malgré la complexité technique, la mise en œuvre de ces protocoles est plus simple que ce que beaucoup d'organisations imaginent. Le processus implique de publier des enregistrements DNS, de passer progressivement de la surveillance à l'application, et de valider toutes les sources d'email légitimes.

Les organisations qui déploient correctement DMARC atteignent généralement une application complète en 6 à 8 semaines, bloquant l'utilisation non autorisée de leurs domaines tout en garantissant que les emails légitimes continuent de circuler sans problème.

Si vous êtes responsable de la sécurité email ou de la délivrabilité, comprendre les différences techniques entre SPF, DKIM et DMARC est essentiel. Chaque protocole traite des vulnérabilités spécifiques, et ce n'est qu'en mettant en œuvre les trois que vous pourrez construire une protection complète contre les menaces basées sur l'email.

Vous y trouverez des explications détaillées sur le fonctionnement de chaque protocole, les erreurs de configuration courantes à éviter, ainsi qu'une liste de vérification pratique pour commencer à protéger votre domaine dès aujourd'hui.