Guide de configuration des protocoles de messagerie Red Sift
Learn about DANE and DNSSEC
What is DANE?
DNS-Based Authentication of Named Entities or DANE is a way of associating a certificate to a domain name without having to rely on external third parties. DANE provides a secure channel between the sender and recipient, ensuring that the sender is talking to the right recipient while preventing MITM from intercepting or modifying the email in transit.
Published under RFC 7671, it introduces a new Internet standard for setting up TLS (Transport Layer Security) communication between a client and a server, without having to rely on trusted Certificate Authorities (CAs).
The traditional CA model TLS has depended on allows any of CA to issue a certificate for any domain. DANE does things differently; it relies on the DNSSEC infrastructure (Domain Name System Security Extensions) to bind a domain name to a certificate.
Why was DANE developed?
There are two main reasons:
1) Improper use of trusted third-party CAs
Attackers can sometimes successfully impersonate a person or service and obtain a rogue certificate. Although this certificate is valid and issued by a trusted third party, it is not designated to the intended person.
2) Eliminating the possibility of MITM (Man-In-The-Middle) attacks
MITM is when an attacker intercepts the conversation between a client and server by inserting themselves into the middle of the conversation, tricking both parties to think that they are talking to each other. This can lead to TLS session downgrade or cache poisoning.
Can DANE be used by any application?
As long as the application uses TLS to connect to services identified by domain names, DANE is universal. It is backward compatible, so if DANE is not supported by a mail server, the client can fall back to using STARTTLS or even clear text. It was developed to be deployed gradually while interoperating with the existing email backbone. As DANE adoption grows, it will promote the use of DNSSEC and vice versa.
What is needed to deploy DANE?
- Security-aware resolver that can query and validate DNSSEC and TLSA records
- DNSSEC signed zone and RRsets
How does DANE achieve the above?
DANE makes use of the already existing DNSSEC protocol, to make sure the data it receives is authentic and has not been tampered with. DANE also introduces a new DNS RR type called TLSA which helps to signal to the client that a server supports TLS.
A TLSA record needs to be set up for each application that makes use of TLS. Each one of those applications will run on different ports and based on the port number, a TLSA record can exist.
If MTA-STS and DANE serve the same purpose, which protocol should I implement?
The recommendation is to implement both MTA-STS and DANE. DANE is a requirement from many governments, so public agencies in the EU are often required to implement it.
DANE and MTA-STS help only if the sender supports it, however, many senders only support one or the other so implementing both improves security overall.
What is DNSSEC?
The Domain Name System Security Extensions (DNSSEC) is a suite of Internet Engineering Task Force (IETF) specifications for securing certain kinds of information provided by the Domain Name System (DNS) as used on IP networks.
The DNSSEC is a set of extensions that provide DNS clients (resolvers) origin authentication of DNS data, authenticated denial of existence, and data integrity, but not availability or confidentiality.
Since the original specification of DNS did not include any security details, DNSSEC attempts to protect applications (and caching resolvers serving those applications) from using forged or manipulated DNS data (such as that created by DNS cache poisoning) all while maintaining backward compatibility.
All answers from DNSSEC-protected zones are digitally signed, verifying their authenticity.
Please note that the initial DNSSEC specification RFC 2535 has become obsolete, due to scalability concerns. DNSSEC-bis is the current protocol. For further information, see: RFC 4033, RFC 4034, and RFC 4035.
Questions fréquemment posées : Guide de configuration des protocoles de messagerie
Avant l’apparition de DMARC, les enregistrements SPF utilisaient couramment le mécanisme « -all » pour appliquer strictement les politiques d’expéditeur. Cependant, les recommandations de l’industrie en 2026 privilégient désormais « ~all » afin d’équilibrer sécurité et délivrabilité, évitant ainsi le rejet inutile d’e-mails valides qui pourraient échouer à SPF mais réussir DKIM et DMARC.
Le principe est que « ~all », combiné à DMARC (avec la politique p=reject), rejettera quand même les messages non authentifiés si SPF et DKIM échouent, sans pour autant bloquer les courriels légitimes, ce qui améliore la délivrabilité globale.
La spécification DMARC (RFC 7489) précise qu’un préfixe « - » sur le mécanisme SPF d’un expéditeur, tel que « -all », peut activer le rejet de messages plus tôt dans le traitement, avant toute intervention de DMARC. Il est donc conseillé de n’utiliser « -all » que pour les domaines inactifs qui n’envoient aucun e-mail. DMARC ne prend pas en compte la nuance entre l’échec doux et strict de SPF, les considérant tous les deux comme des échecs SPF.
DMARC n’exige pas seulement que SPF ou DKIM soient PASS, mais impose aussi qu’au moins un des domaines utilisés par SPF ou DKIM s’aligne sur le domaine figurant dans l’en-tête From. Un bon alignement est essentiel pour la délivrabilité en 2026 car les principaux fournisseurs de messagerie appliquent ces exigences.
Pour SPF, l’alignement de l’identifiant signifie que le contrôle MAIL FROM/Return-PATH doit réussir et que la partie domaine du MAIL FROM/Return-PATH doit s’aligner sur le domaine utilisé dans l’adresse From. En mode strict, les domaines doivent correspondre exactement, tandis qu’en mode relâché, les sous-domaines sont également tolérés à condition qu’ils appartiennent au même domaine organisationnel.
Par exemple, si le MAIL-FROM/RETURN-PATH est @ondmarc.com et que l’en-tête From est @knowledge.ondmarc.com, ils ne sont pas alignés en mode strict. Mais en mode relâché, DMARC considèrera l’alignement comme valide.
Un rapport agrégé DMARC fournit des informations sur le statut d’authentification des messages envoyés au nom d’un domaine. Il s’agit d’un rapport de rétroaction XML destiné à donner de la visibilité sur les e-mails ayant réussi ou échoué aux vérifications SPF et DKIM. Ce rapport donne au propriétaire du domaine une vision précise des sources qui envoient en son nom et des actions appliquées à ces e-mails (la politique appliquée par le destinataire).
Les destinataires examinent la balise 'rua' de votre enregistrement DMARC et envoient les rapports à cette adresse. Vous pouvez spécifier l’intervalle d’envoi des rapports agrégés grâce à la balise ri (par défaut à 86 400 secondes soit 24 heures). Les rapports judiciaires contiennent des informations détaillées sur chaque échec d’authentification. Les informations personnelles identifiables (PII) sont retirées, mais tout ce qui peut aider à diagnostiquer l’échec DMARC reste, comme les détails du rejet SPF et DKIM, l’adresse From complète et l’objet du message.
L’adresse de réception des rapports judiciaires DMARC est spécifiée par la balise 'ruf' dans votre enregistrement DMARC. Tous les systèmes de réception ne prennent pas en charge l’envoi de rapports judiciaires. Red Sift OnDMARC fait partie des rares applications DMARC du marché qui reçoivent ces rapports grâce à son partenariat avec Yahoo.
Une macro SPF correspond à un mécanisme utilisé dans les enregistrements SPF pour définir des ensembles d’adresses IP réutilisables. Les macros SPF augmentent la flexibilité et la maintenance des enregistrements SPF en permettant de définir des ensembles complexes d’IP dans un seul mécanisme, qui peut être appelé dans plusieurs enregistrements SPF. Par exemple, au lieu de lister chaque adresse IP autorisée, on peut définir une macro telle que « %{i} » qui appelle l’IP de l’expéditeur du message. Gérer les SPF ainsi permet de contrôler une grande liste d’IP sans dépasser la limite de recherches SPF, et d’obscurcir les adresses IP autorisées pour les requêtes publiques.
Cependant, selon la structure de l’enregistrement SPF utilisant des macros, l’absence de développement des macros peut entraîner des erreurs SPF ou des résultats « Neutral » (indiqués par le mécanisme ?all). Si les macros SPF sont essentielles pour autoriser certains serveurs expéditeurs légitimes, les e-mails pourraient échouer les contrôles SPF ou être considérés comme suspects par les serveurs destinataires qui s’appuient sur SPF pour l’authentification.
Mail Transfer Agent Strict Transport Security (MTA-STS) est une norme qui permet de chiffrer les messages envoyés entre deux serveurs de messagerie. Elle indique aux serveurs expéditeurs que les e-mails doivent obligatoirement être transférés via une connexion chiffrée TLS, ce qui empêche leur interception par des cybercriminels.
L’adoption de MTA-STS a fortement augmenté, les organisations en 2026 considérant la sécurité de la couche de transport comme essentielle pour protéger les e-mails en transit. Pour permettre l’activation de MTA-STS sur un domaine destinataire, il faut annoncer la prise en charge de MTA-STS dans le DNS du domaine et publier un fichier de politique sur le site web associé.
L’activation de MTA-STS doit être réalisée avec précaution pour éviter de bloquer la livraison. Il est conseillé de déployer d’abord MTA-STS en mode test, afin d’analyser les rapports TLS et corriger les éventuels problèmes avant de passer à une politique d’application stricte. Cette démarche progressive devrait devenir la norme en 2026 pour les organisations souhaitant mettre en œuvre la sécurité du transport.
Le SMTP TLS Reporting (ou TLS-RPT) permet de signaler les problèmes de connectivité TLS rencontrés par les MTAs expéditeurs, et il est défini dans le RFC8460. Comme pour DMARC, TLS-RPT envoie des rapports par e-mail pour avertir les propriétaires de domaine lorsqu’une livraison échoue en raison d’un incident TLS. Ces rapports incluent la politique MTA-STS détectée, des statistiques de trafic, les connexions ayant échoué et les raisons des échecs.
Avec la fonctionnalité MTA-STS de Red Sift OnDMARC, vous n’avez pas à craindre une mise en place complexe. Il suffit d’ajouter les Smart Records MTA-STS fournis par OnDMARC dans votre DNS, puis Red Sift héberge le fichier de politique MTA-STS, maintient le certificat SSL et signale toute violation de politique à travers les rapports TLS. Les plateformes DMARC modernes incluent en 2026 MTA-STS hébergé comme un standard, facilitant ainsi le déploiement de la sécurité de la couche de transport.
Publiée dans le RFC 7671, DANE (DNS-based Authentication of Named Entities) introduit un nouveau standard Internet pour configurer la communication TLS entre un client et un serveur, sans dépendre des autorités de certification traditionnelles (CA).
Le modèle classique de TLS par CA permet à n’importe quelle CA d’émettre un certificat pour n’importe quel domaine. DANE s’appuie sur l’infrastructure DNSSEC (Domain Name System Security Extensions) pour lier un nom de domaine à un certificat. Le protocole DNSSEC déjà existant garantit que les données reçues sont authentiques et n’ont pas été altérées.
DANE introduit également un nouveau type de RR DNS appelé TLSA, signalant au client qu’un serveur prend en charge TLS. Il est recommandé de configurer MTA-STS et DANE ensemble. DANE est obligatoire pour de nombreux gouvernements, et les organismes publics de l’UE doivent généralement l’implémenter.
DANE et MTA-STS sont efficaces uniquement si l’expéditeur les prend en charge. Or, la plupart des expéditeurs ne prennent en charge qu’un seul des deux, donc les utiliser ensemble renforce la sécurité. En 2026, les organisations déploient souvent d’abord MTA-STS pour une compatibilité plus large, puis ajoutent DANE pour une sécurité accrue là où c’est nécessaire.
La politique de sous-domaine permet aux administrateurs de protéger différents domaines et sous-domaines selon leur niveau d’avancement DMARC. Par exemple, si tous vos services émetteurs configurés pour votre domaine principal utilisent SPF et DKIM, vous pouvez appliquer une politique DMARC de p=reject au domaine principal tout en laissant les sous-domaines en p=none, ou inversement.
Ainsi, si un service d’envoi d’e-mails n’est pas compatible DMARC (ne supporte pas SPF ou DKIM), il est possible de lui attribuer un sous-domaine distinct et de lui assigner une autre politique DMARC, sans empêcher la protection des autres domaines. Cela permet de répartir le trafic sur plusieurs sous-domaines, chacun étant protégé indépendamment.