Rendre votre domaine difficile à falsifier
L'e-mail a été conçu sans aucun contrôle de l'expéditeur. N'importe qui peut écrire un message qui affiche votre domaine dans le champ « De », et de nombreuses campagnes de phishing font exactement cela. Trois normes, publiées dans le DNS de votre domaine, permettent aux serveurs destinataires de vérifier l'expéditeur et de refuser les falsifications ; une quatrième place votre logo à côté des messages qui passent ces contrôles.
Ce que font SPF, DKIM, DMARC et BIMI
- SPF liste les serveurs autorisés à envoyer des e-mails pour votre domaine.
- DKIM signe chaque message, pour que le destinataire puisse vérifier qu'il n'a pas été modifié et qu'il provient d'un domaine qui détient la clé.
- DMARC indique aux destinataires quoi faire d'un message qui échoue à ces contrôles (le délivrer, le mettre en quarantaine ou le rejeter) et vous envoie des rapports sur ceux qui envoient des e-mails en votre nom.
- BIMI affiche votre logo dans les messageries qui le prennent en charge, pour les messages qui passent DMARC avec une politique appliquée (quarantaine ou rejet). Certains fournisseurs de messagerie exigent aussi un certificat lié à une marque enregistrée.
Pourquoi c'est important
Un domaine sans DMARC peut servir à envoyer du phishing qui semble venir de vous, à vos clients, à vos fournisseurs ou à vos propres équipes. Les grands fournisseurs de messagerie attendent de plus en plus des expéditeurs qu'ils authentifient leurs e-mails : l'authentification aide donc aussi vos vrais messages à arriver en boîte de réception. Les domaines que vous détenez sans jamais les utiliser pour l'e-mail doivent aussi être protégés : un enregistrement strict indique aux destinataires qu'aucun message ne doit jamais en provenir.
Comment Domgate s'en charge
- Inventaire. Nous recensons, domaine par domaine, les services qui envoient des e-mails pour vous (votre plateforme de messagerie, vos lettres d'information, votre facturation, vos outils de support).
- Enregistrements. Nous publions SPF, DKIM et DMARC dans le DNS de vos domaines, en commençant par une politique de surveillance qui ne change rien à la délivrance.
- Rapports. Nous lisons les rapports DMARC pour trouver les expéditeurs légitimes qui manquent encore et les sources qui usurpent votre domaine.
- Application. Une fois que chaque expéditeur légitime passe les contrôles, nous faisons passer la politique en quarantaine, puis en rejet, et ajoutons BIMI si vous souhaitez afficher votre logo.
Ce que vous fournissez
L'accès au DNS des domaines concernés, ou leur gestion par Domgate ; la liste des outils qui envoient des e-mails en votre nom ; et, pour BIMI, votre logo et, lorsqu'un fournisseur de messagerie l'exige, l'enregistrement de marque qui le couvre.
À qui s'adresse ce service
À toute organisation dont le nom est utilisé dans des e-mails, et en particulier aux marques ciblées par le phishing, aux entreprises qui détiennent de nombreux domaines et aux groupes dont les filiales envoient des e-mails depuis des plateformes différentes.
DMARC et BIMI : questions fréquentes
DMARC risque-t-il d'empêcher la délivrance de mes propres e-mails ?
Pas lorsqu'il est introduit étape par étape. Nous commençons par une politique qui se contente de collecter des rapports, nous vérifions que chaque expéditeur légitime passe les contrôles, et c'est seulement ensuite que nous demandons aux destinataires de mettre le reste en quarantaine ou de le rejeter.
Les domaines qui n'envoient jamais d'e-mails ont-ils besoin de DMARC ?
Oui. Ces domaines peuvent tout de même être usurpés. Un enregistrement qui déclare qu'aucun serveur n'envoie d'e-mails pour eux, avec une politique de rejet, ferme cette porte sans affecter votre messagerie.
Que faut-il pour BIMI ?
Une politique DMARC en quarantaine ou en rejet, un logo au format requis et, pour certains fournisseurs de messagerie, un certificat pour le logo, qui peut exiger une marque enregistrée. Nous vous indiquons quelles conditions s'appliquent aux messageries qu'utilisent vos clients.
