Qu’est-ce qu’un enregistrement DMARC ? Syntaxe et mise en place

L’e-mail est le canal de communication le plus répandu entre l’entreprise et son marché cible. Il n’est donc pas surprenant qu’il soit la cible privilégiée des pirates. D’après des études récentes, il intervient dans plus de 90 % de toutes les attaques réseau, celles qui causent des pertes financières énormes aux organisations comme à leurs clients.

Pour désamorcer cette situation et prévenir l’hameçonnage et l’usurpation, de nombreuses entreprises se sont tournées vers les protocoles d’authentification conçus pour traiter les vulnérabilités de l’e-mail. Nous avons déjà examiné les deux standards les plus répandus et les plus fiables du web : SPF et DKIM. Le moment est venu de comprendre ce qu’est l’enregistrement DMARC, qui profite des atouts de ces deux technologies de sécurité et va même plus loin, en fournissant de quoi récupérer des retours sur l’écosystème e-mail.

Alors, qu’est-ce que DMARC, et pourquoi est-ce important pour les e-mails ?

Qu’est-ce que DMARC ?

Avant d’aborder l’enregistrement DMARC et les fondamentaux de sa mise en place, il est essentiel de comprendre ce qu’est DMARC.

Domain-based Message Authentication, Reporting & Conformance, plus connu sous le nom de DMARC, est un protocole gratuit d’authentification des e-mails. Son objectif principal est d’empêcher qu’un domaine serve à des attaques de pirates : usurpation, hameçonnage et arnaques par e-mail.

Comme nous l’avons déjà noté, il est né d’un niveau de cybercriminalité vertigineux. D’après des statistiques récentes :

• plus de 35 % de toutes les attaques d’hameçonnage dans le monde visaient les services de webmail et le SaaS ;
• une entreprise sur deux dans le monde a été visée par une attaque par ransomware l’an dernier ;
• les attaques d’hameçonnage causent un quart de toutes les violations de données.

L’intérêt de DMARC, c’est qu’il tire le meilleur des protocoles SPF et DKIM et prolonge leurs mécanismes pour rendre l’authentification précise et efficace. Avec DMARC, le propriétaire du domaine formule une politique à l’aide d’enregistrements DNS. Il peut y préciser des choses comme :

• quels domaines ont l’autorisation d’envoyer des e-mails au nom de l’organisation ;
• quelles clés utiliser pour signer et valider les e-mails ;
• ce que les fournisseurs de messagerie doivent faire des e-mails qui ne viennent pas de domaines autorisés ou qui échouent au test DKIM et au test DMARC.

Ce n’est pas tout. L’avantage le plus marquant de DMARC est que, contrairement à SPF et DKIM, c’est une spécification de reporting. Avec DMARC en place, le serveur de messagerie destinataire peut renvoyer un rapport sur les messages en échec. Il existe en deux formats : le rapport agrégé et le rapport forensique.

En clair, les rapports agrégés contiennent des informations sur le « domaine de rapport » et un fichier XML listant les e-mails qui ont échoué à la vérification. Les rapports forensiques sont des rapports d’échec qui détaillent les messages qui échouent à SPF, à DKIM ou aux deux. Ensemble, ils montrent comment vos e-mails circulent dans l’écosystème et quelles entités utilisent votre domaine e-mail.

DMARC fait trois choses essentielles :

• Vérifier que les messages sont authentifiés et légitimes.
• Indiquer quoi faire des messages illégitimes.
• Générer des rapports et les renvoyer pour que l’expéditeur puisse combattre l’usurpation de son côté.

Grâce à ce mécanisme d’authentification élargi, la plupart des fournisseurs de messagerie jugent DMARC très efficace et s’en servent pour établir l’authenticité de l’expéditeur. Selon les résultats DMARC, ils décident si l’e-mail franchira toutes les barrières et arrivera en boîte de réception, s’il finira dans le dossier spam, ou s’il sera rejeté et signalé comme une menace malveillante.

Taux de croissance des infections par malware, par Purplesec

Qu’est-ce qu’un enregistrement DMARC ?

L’enregistrement DMARC est le cœur du standard de sécurité DMARC. C’est un enregistrement TXT du DNS qui indique au serveur de messagerie destinataire (fournisseurs de messagerie, Gmail, Yahoo et autres) ce qu’il doit faire des messages après avoir contrôlé les enregistrements SPF et DKIM et le test DMARC. Il propose trois politiques principales :

• None. Surveille le trafic sans autre action.
• Quarantine. Envoie les messages qui échouent à DMARC dans le dossier spam.
• Reject. Refuse tous les e-mails non autorisés.

En l’absence d’enregistrement DMARC, le camp destinataire tire ses propres conclusions sur la conduite à tenir.

Notez aussi que même si l’e-mail passe le contrôle DMARC, il peut encore être rejeté, car les fournisseurs de messagerie tiennent compte d’autres facteurs. Par exemple, si l’adresse IP de l’expéditeur est sur une blacklist (liste noire), tous ses messages seront rejetés, DMARC ou pas, et dans nos tests 3 % des adresses IP d’envoi apparaissent sur une blacklist d’adresses IP : c’est un risque réel, à vérifier en parallèle de votre configuration DMARC.

Que contient un enregistrement DMARC ?

L’enregistrement DMARC est un enregistrement TXT du DNS adapté. Il suit un format et une syntaxe précis et se compose de tags associant un nom et une valeur. Certains tags sont obligatoires, d’autres facultatifs. Voici les plus courants :

• « v » indique la version du protocole DMARC. En règle générale, c’est « DMARC1 ». Il est indispensable à la mise en place de DMARC : s’il n’est pas précisé, le camp destinataire saute le contrôle DMARC.
• « p » indique la politique. Elle a trois valeurs :
  • None. Ne rien faire des messages en échec.
  • Quarantine. Placer les messages en échec dans le dossier spam.
  • Reject. Bloquer tous les messages en échec.
• « sp » indique la politique pour le sous-domaine. Vous pouvez appliquer des politiques différentes au domaine principal et aux sous-domaines. Notez aussi qu’un sous-domaine peut publier son propre enregistrement DMARC : il sera contrôlé avant celui du domaine principal.
• « pct » indique le pourcentage d’e-mails « en échec » auxquels appliquer la politique.
• « rua » indique où envoyer les rapports sur les messages. Vous pouvez ajouter plusieurs adresses de rapport.
• « adkim= » indique le type de « test d’alignement ». Il a deux valeurs : « s » pour strict et « r » pour relaxed, l’alignement souple.

Un enregistrement DMARC classique ressemble à ceci :

v=DMARC1; p=reject; rua=mailto:dmarc_reports@your_domain_name.com

Point capital : DMARC peut passer outre la politique définie dans DKIM. C’est bien pratique dans de nombreuses situations quotidiennes. Par exemple, l’expéditeur veut appliquer la politique non pas à tous les messages mais seulement à un certain pourcentage, ou bien le message vient d’une source de confiance et doit aller droit en boîte de réception.

Comment DMARC fonctionne-t-il ?

La première chose à comprendre sur le fonctionnement de DMARC est qu’au moins un protocole d’authentification (SPF ou DKIM) doit être en place. Et l’enregistrement DMARC doit être configuré.

Le déroulé de DMARC est assez simple et direct, comparable à celui de SPF et DKIM. Passons en revue ses étapes clés :

• Étape 1 : à la réception de l’e-mail, le serveur de messagerie vérifie s’il existe un enregistrement DMARC.
• Étape 2 : si l’enregistrement DMARC est trouvé, le serveur lance les protocoles SPF et DKIM pour tester la légitimité de l’e-mail et déterminer si le domaine a le droit d’envoyer des e-mails au nom de l’expéditeur, et si l’e-mail est signé.
• Étape 3 : après les tests SPF et DKIM, le serveur lance un « test d’alignement » pour vérifier des points capitaux :
  • si le domaine du « From: » correspond au domaine du « return-path », lorsque SPF est en place ;
  • si le domaine de l’expéditeur correspond au domaine depuis lequel l’e-mail a été envoyé, lorsque DKIM est en place.

Les exigences d’alignement existent en deux versions.

1. La première est strict. Cela veut dire que les domaines doivent correspondre exactement.
2. La seconde est « relaxed », l’alignement souple. Seuls les domaines de base doivent correspondre exactement, ce qui autorise des sous-domaines différents.

• Étape 4 : le camp destinataire détermine si le contrôle DMARC est réussi ou non. Le test DMARC est considéré comme réussi si le protocole d’authentification (SPF ou DKIM) réussit et si son « test d’alignement » correspondant réussit aussi.
  • Si le test DMARC réussit, le serveur destinataire peut laisser entrer l’e-mail.
  • Si le test DMARC échoue, le serveur destinataire va chercher dans les enregistrements DMARC les instructions prévues pour les messages en échec.
• Étape 5 : le serveur de messagerie destinataire génère un rapport et le renvoie. Il contient les résultats de la vérification DMARC et des données agrégées sur les contrôles en échec.

Notez que même si DMARC est un protocole d’authentification très respecté, cela ne veut pas dire que les fournisseurs de messagerie suivront ses instructions sans réserve. Ils prennent en compte de nombreux facteurs avant de trancher. DMARC envoie toutefois un signal fort au serveur destinataire sur le sort du message.

Infographie DMARC

Les faiblesses de l’enregistrement DMARC

DMARC a prouvé son efficacité, mais il souffre encore de quelques limites. Voici les plus évidentes :

• La mise en place de DMARC ne combat pas toutes les attaques d’hameçonnage. À l’origine, il a été conçu pour bloquer l’usurpation directe.
• Elle ne peut rien contre les attaques par domaine cousin, ni contre l’abus du nom affiché.
• DMARC peut être considéré comme réussi même si l’un des protocoles d’authentification échoue. Par exemple, SPF et son « test d’alignement » échouent, mais DKIM et son « test d’alignement » réussissent : dans ce cas, DMARC reste réussi.
• DMARC peut être difficile à mettre en place seul. Il est vivement conseillé de passer par un assistant, car la moindre erreur de configuration peut avoir des conséquences radicales.
• DMARC n’a pas été créé pour l’ère du cloud, donc les entreprises qui utilisent des services cloud peuvent en subir les limites.
• La configuration DMARC n’est pas très facile à gérer, même si le principe est simple. Il faut par exemple un outil dédié pour analyser les rapports, car ils sont conçus pour des machines, pas pour des humains.

Les limites de DMARC ne sont pas si nombreuses, et la plupart peuvent être atténuées. Il faut cependant se rappeler que DMARC hérite aussi de certaines faiblesses de SPF et DKIM, puisqu’il repose sur ces protocoles. Pour obtenir une protection d’ensemble, vous devez donc boucher toutes les brèches.

Pourquoi l’enregistrement DMARC compte pour l’e-mail

Malgré ses faiblesses, l’enregistrement DMARC apporte de réels bénéfices aux organisations. Déployer ce protocole d’authentification devient de plus en plus important, précisément à cause de ces avantages. C’est aussi là que beaucoup d’expéditeurs sont en retard : sur les domaines que nous testons, 58 % publient désormais une politique DMARC, mais 42 % n’en ont toujours aucune, donc un enregistrement correctement configuré vous place devant une large part du terrain.

• Avec une configuration DMARC, les fournisseurs de messagerie combattent efficacement les pratiques malveillantes.
• Elle protège les clients de l’invasion de newsletters malveillantes ou de virus.
• Elle aide les fournisseurs de messagerie à mieux identifier les pirates.
• DMARC fournit un rapport d’authentification qui crée un lien transparent entre l’entreprise et l’utilisateur final, en montrant qui envoie des e-mails depuis le domaine du propriétaire.
• Les enregistrements DMARC aident à réduire les faux positifs.
• DMARC combat l’usage non autorisé de votre domaine e-mail.
• L’enregistrement DMARC renforce la réputation. Cela passe par l’amélioration de votre réputation d’expéditeur et de la réputation de votre marque, ce qui solidifie la position de votre entreprise sur le marché.
• La mise en place de DMARC rend tout l’écosystème e-mail plus sûr et plus fiable.
• DMARC améliore la délivrabilité des e-mails, qui joue un rôle crucial pour atteindre un bon niveau de taux d’ouverture et de taux de conversion.

Comment mettre en place un enregistrement DMARC

Pour mettre en place un enregistrement DMARC, plusieurs étapes sont nécessaires. Passons-les en revue.

Étape 1 : déployer SPF et DKIM.

Si SPF et DKIM sont en place depuis un certain temps, vous pouvez passer à l’étape 2. Si vous venez tout juste de déployer ces standards, il faut attendre au moins 48 heures. Ce délai est nécessaire pour que les changements dans le DNS prennent effet.

Notez qu’il est possible de définir un enregistrement DMARC sans SPF ni DKIM, mais ce n’est pas recommandé : DMARC ne fera rien dans ce cas. Ce serait inutile.

Il est également essentiel de contrôler SPF et DKIM pour s’assurer qu’ils fonctionnent comme prévu.

Étape 2 : créer un enregistrement DMARC.

Deux paires tag-valeur sont obligatoires dans tout enregistrement DMARC : « v » (version) et « p » (politique). Tout le reste est facultatif.

Comme nous l’avons déjà noté, le tag « v » doit valoir « DMARC1 ». Pour « p », c’est à vous de décider quoi faire des e-mails qui échouent à l’authentification. Trois options : none, quarantine ou reject.

Il est aussi vivement conseillé d’ajouter le tag « rua » pour que le serveur destinataire puisse renvoyer des rapports. Si vous préférez ne pas écrire la syntaxe à la main, notre DMARC record generator gratuit construit un enregistrement valide dès que vous avez choisi votre politique et votre adresse de rapport.

À ce stade, l’enregistrement DMARC de base peut ressembler à ceci :

v=DMARC1; p=none; rua="mailto:reports@your_domain_name.com"

Si vous voulez étoffer cet enregistrement, vous pouvez utiliser d’autres tags.

Étape 3 : ajouter l’enregistrement DMARC au DNS

Chaque hébergeur propose son propre assistant pour aider les entreprises à ajouter des enregistrements DMARC au DNS. Vous n’avez pas à tout faire à la main. Ces assistants offrent en général des interfaces pratiques et intuitives pour ajouter des enregistrements DMARC, et même pour en créer un simplement en choisissant les tags nécessaires et en saisissant les valeurs correspondantes.

Suivez cette procédure simple :

• Connectez-vous chez votre registrar de domaine.
• Trouvez les réglages DNS dans le panneau de contrôle et cliquez sur l’option pour les gérer ou les configurer.
• Cherchez l’option « Ajouter un nouvel enregistrement ».
• Cliquez dessus et choisissez un enregistrement « TXT ».
• Ajoutez-y votre enregistrement DMARC.

Étape 4 : attendre que les changements prennent effet.

Comme pour SPF et DKIM, il faut jusqu’à 48 heures, voire plus selon votre hébergeur, pour que l’enregistrement DMARC entre en vigueur.

Infographie : prévenir la fraude par e-mail avec DMARC

Étape 5 : valider l’enregistrement DMARC

Comme pour DKIM, où les fournisseurs de messagerie voient la moindre erreur de syntaxe comme un signe de fraude, une erreur dans l’enregistrement DMARC peut être fatale. Il doit donc être irréprochable.

Par ailleurs, mettre DMARC en place n’est que le début du chemin. Il est essentiel de tester régulièrement la configuration DMARC, SPF et DKIM pour s’assurer que les politiques définies ne bloquent pas d’e-mails légitimes. Voici quelques bons outils pour contrôler l’enregistrement DMARC.

Des outils pour contrôler l’enregistrement DMARC

Plusieurs outils répandus vérifient la validité d’un enregistrement DMARC :

• Unspam email. Unspam fait passer plusieurs tests à votre e-mail pour livrer un rapport détaillé sur sa santé et son efficacité. Vous y trouvez le détail de votre enregistrement DMARC et les erreurs éventuelles à corriger.
• DMARC Record Checker. L’inspecteur contrôle si l’enregistrement est valide et s’il contient des erreurs de syntaxe.
• DMARC Check Tool. Ce lookup d’enregistrement DMARC lance une série de tests de diagnostic et affiche les résultats dans un tableau pratique.
• DMARC Record Lookup. Ce service fait deux choses. D’abord, il valide l’enregistrement pour s’assurer qu’il fonctionne. Ensuite, il génère un enregistrement DMARC à partir de vos paramètres.
• Phishing Scorecard Tool by Dmarcian. Si vous vous demandez qui utilise DMARC, et si les domaines de vos marques préférées résistent à l’hameçonnage, c’est par là qu’il faut commencer vos recherches.

Unspam.email

Voici quelques bonnes pratiques pour la protection DMARC.

• Commencez par les options relaxed et quarantine, puis progressez vers un régime strict.
• N’utilisez pas plus de deux destinations différentes pour les rapports, car les fournisseurs de messagerie n’en desservent pas davantage.
• Ne déclarez pas plusieurs entrées RUA et RUF.
• Si votre organisation est grande ou compte de nombreux sous-domaines, mieux vaut passer par une implémentation DMARC automatisée, qui aide à monter en charge efficacement.
• Utilisez un service dédié de suivi DMARC pour analyser les informations, car les rapports agrégés et forensiques sont lisibles par une machine. Si vous en cherchez un, notre comparatif des meilleures alternatives à EasyDMARC mesure les options sur le prix et la profondeur des rapports.

Conclusion

DMARC est l’un des protocoles d’authentification les plus puissants, et il a prouvé sa validité et son efficacité au fil des ans. Il ne s’agit pas seulement de valider les e-mails et de rejeter ceux qui ne sont pas autorisés. Il s’agit d’offrir un moyen de coordonner les efforts des expéditeurs et des serveurs de réception, et de les mettre en position de force pour combattre l’usurpation et l’hameçonnage.

Même si DMARC est un outil puissant, il joue en équipe, jamais en solitaire. Représentant de l’approche par couches, il doit se combiner à d’autres technologies de sécurité pour offrir une protection optimale et éviter aux entreprises de perdre de l’argent à cause de menaces numériques qui coûtent chaque année des milliards de dollars aux entreprises du monde entier.