Un e-mail peut afficher n’importe quelle adresse d’expéditeur. Le protocole qui transporte la messagerie n’a pas été conçu pour vérifier que celui qui envoie un message a réellement le droit de se présenter sous l’adresse qu’il affiche. N’importe qui peut donc, en quelques minutes, envoyer à vos clients, vos fournisseurs ou vos collaborateurs un message qui semble venir de votre entreprise.
Les conséquences sont concrètes : fausse facture adressée à un client avec vos coordonnées, demande de virement urgente attribuée à votre dirigeant, campagne de phishing menée sous votre identité. Trois mécanismes complémentaires, SPF, DKIM et DMARC, permettent de réduire fortement ce risque. Ils sont encore trop peu déployés, ou déployés de façon incomplète.
Deux protections qu’il ne faut pas confondre
Quand on parle de sécurité de la messagerie, on pense d’abord au filtrage des messages reçus : détecter le phishing, bloquer les pièces jointes dangereuses, repérer les liens piégés. C’est la protection entrante, indispensable.
→ Sécurité des e-mails en entreprise : pourquoi c’est la première faille
SPF, DKIM et DMARC relèvent d’une autre logique : la protection de l’identité de l’entreprise. Ils ne servent pas à filtrer ce que vos collaborateurs reçoivent, mais à permettre à ceux qui reçoivent des messages portant votre nom de domaine de vérifier qu’ils viennent bien de vous. Une entreprise peut avoir un excellent filtrage entrant et un domaine totalement exposé à l’usurpation. Les deux protections se complètent, elles ne se remplacent pas.
SPF : la liste des serveurs autorisés à envoyer pour votre domaine
Le SPF (Sender Policy Framework) est un enregistrement publié dans la zone DNS du domaine. Il liste les serveurs et les services autorisés à envoyer des e-mails au nom de l’entreprise : sa messagerie, mais aussi son outil d’envoi de newsletters, sa plateforme de facturation ou son logiciel de relation client. Le serveur qui reçoit un message compare l’adresse du serveur expéditeur à cette liste.
Le SPF a deux limites connues. Il ne vérifie pas l’adresse affichée à l’écran par le destinataire, mais une adresse technique d’enveloppe, ce qui laisse une faille exploitable. Il échoue en outre lorsqu’un message est transféré par un serveur intermédiaire, qui ne figure pas dans la liste. Enfin, le nombre de résolutions DNS qu’un enregistrement SPF peut déclencher est limité à dix, ce qui oblige à gérer la liste avec rigueur lorsque l’entreprise utilise de nombreux services d’envoi.
DKIM : une signature qui prouve l’origine et l’intégrité
Le DKIM (DomainKeys Identified Mail) ajoute à chaque message sortant une signature numérique, générée par le serveur d’envoi avec une clé privée. La clé publique correspondante est publiée dans le DNS du domaine. Le destinataire peut ainsi vérifier que le message a bien été émis par un système autorisé par le domaine, et qu’il n’a pas été modifié en chemin.
Contrairement au SPF, la signature DKIM survit généralement à un transfert simple, puisqu’elle est attachée au message lui-même. Elle peut en revanche être invalidée si un intermédiaire modifie le contenu, ce qui arrive par exemple avec certaines listes de diffusion qui ajoutent un pied de page.
DMARC : la règle qui relie le tout à l’adresse visible
SPF et DKIM vérifient chacun une dimension technique, mais aucun des deux ne garantit à lui seul que l’adresse affichée à l’écran est légitime. C’est le rôle du DMARC (Domain-based Message Authentication, Reporting and Conformance), publié lui aussi dans le DNS, sous une entrée dédiée au domaine.
Le DMARC exige qu’au moins l’un des deux mécanismes, SPF ou DKIM, aboutisse et corresponde au domaine de l’adresse visible par le destinataire. Il indique ensuite aux serveurs de réception ce qu’ils doivent faire d’un message qui échoue à ce contrôle. Trois politiques existent : ne rien faire de particulier et simplement collecter des informations, placer le message en quarantaine, ou le rejeter purement et simplement. Il demande enfin aux serveurs de réception d’envoyer au propriétaire du domaine des rapports sur les messages qui prétendent venir de lui.
Ce dernier point est souvent le plus précieux. Les rapports DMARC révèlent qui envoie réellement des e-mails au nom du domaine, y compris des services que l’entreprise avait oubliés, et des tentatives d’usurpation dont elle n’aurait jamais eu connaissance autrement.
Déployer sans bloquer ses propres envois
Le principal risque d’un déploiement DMARC est de bloquer les messages légitimes de l’entreprise elle-même. Une politique de rejet appliquée trop tôt peut empêcher une facture, un devis ou une newsletter d’arriver à destination, simplement parce qu’un service d’envoi n’avait pas été déclaré.
La démarche progressive évite ce piège. Elle commence par une politique de simple surveillance, qui ne bloque rien mais permet de collecter des rapports pendant plusieurs semaines. L’analyse de ces rapports permet d’identifier tous les services qui envoient au nom du domaine et de les mettre en conformité, en les ajoutant au SPF ou en configurant la signature DKIM chez chacun d’eux. Une fois les envois légitimes corrects, la politique peut passer en quarantaine, puis en rejet, par étapes.
Les rapports sont fournis dans un format technique difficilement lisible tel quel. Pour une PME, une ETI ou une collectivité qui ne dispose pas d’un spécialiste de la messagerie, cette phase d’analyse est souvent celle qui justifie de s’appuyer sur un outil dédié ou sur un partenaire qui connaît le sujet.
Cette démarche concerne aussi les environnements de messagerie cloud, comme Microsoft 365, dont la configuration d’origine ne suffit pas toujours à protéger entièrement le domaine.
→ Comment sécuriser Microsoft 365 en entreprise
Ce que DMARC ne couvre pas
Un déploiement complet de DMARC ne règle pas tous les problèmes d’usurpation, et il vaut mieux le savoir pour ne pas avoir une fausse impression de sécurité.
Il protège le nom de domaine exact de l’entreprise. Il ne protège pas contre un domaine qui lui ressemble : une lettre remplacée, un tiret ajouté, une extension différente. Un attaquant peut enregistrer un tel domaine en quelques minutes et le configurer avec ses propres SPF, DKIM et DMARC parfaitement valides. Il ne protège pas non plus contre l’usurpation du nom affiché, c’est-à-dire du texte qui précède l’adresse dans la plupart des messageries. Et il ne protège pas contre un compte légitime compromis, dont les messages passent tous les contrôles puisqu’ils sont réellement émis par l’entreprise.
→ Phishing ciblé dirigeants : comment les décideurs se font piéger
Ce dernier cas rappelle l’importance de protéger les accès eux-mêmes, par une authentification renforcée, en complément de la protection du domaine.
→ MFA : indispensable ou contraignant pour les PME ?
Par où commencer
La première étape est de savoir où en est le domaine. Il est possible de consulter les enregistrements DNS d’un domaine avec des outils de vérification publics, ou en demandant à son prestataire informatique ou à son hébergeur ce qui est publié. Trois situations se présentent. Aucun enregistrement : le domaine est entièrement exposé. Un SPF et parfois un DKIM, mais pas de DMARC : la protection est partielle et rien n’indique ce qui se passe en cas d’échec. Un DMARC en simple surveillance : le déploiement est engagé, reste à exploiter les rapports et à durcir la politique.
À partir de là, la démarche suit l’ordre décrit plus haut : inventorier les services d’envoi, les mettre en conformité, surveiller, puis durcir progressivement.
Ce qu’il faut retenir
Le contrôle de l’expéditeur n’existe pas par défaut dans la messagerie : il se construit, domaine par domaine, avec trois enregistrements qui se complètent. Le SPF liste les serveurs autorisés, le DKIM signe les messages, le DMARC relie les deux à l’adresse visible et dit quoi faire des messages qui échouent.
Le travail demandé est modeste au regard du risque : quelques enregistrements DNS, une période de surveillance, un durcissement par étapes. La première action utile tient en dix minutes : vérifier ce que votre domaine publie aujourd’hui. Beaucoup d’entreprises découvrent à cette occasion que n’importe qui peut écrire à leurs clients en leur nom.