La sécurité des e-mails n’a jamais compté autant qu’aujourd’hui. Il est essentiel de protéger chacun des e-mails que vous envoyez et recevez pour bâtir une entreprise fiable et sûre. Employer les bonnes techniques de sécurité e-mail permet de prévenir l’hameçonnage, la fraude ou le spam, et d’éviter que vos clients deviennent les victimes d’une cyberattaque.
Il existe bien des façons de protéger les e-mails de votre entreprise et ceux de vos clients. Deux protocoles répandus, suivis aujourd’hui par la plupart des sociétés, sont DKIM et DMARC. Les spécialistes de la sécurité e-mail les reconnaissent au premier coup d’œil, mais un dirigeant ordinaire peut avoir du mal à s’y retrouver.
Ce guide passe en revue tout ce qu’il faut savoir sur DKIM face à DMARC, pour que vous puissiez dormir tranquille en sachant que tous vos e-mails, entrants comme sortants, sont parfaitement sécurisés.
Qu’est-ce que DKIM ? Comprendre les bases
DKIM, aussi appelé DomainKeys Identified Mail, est une stratégie de sécurité en ligne dans laquelle les e-mails sont authentifiés à la fois par les serveurs entrants et par les serveurs sortants. Cela protège l’utilisateur final des risques de sécurité qui passent par sa messagerie. Le procédé consiste à doter chaque e-mail d’une signature.
Cette signature sert de méthode d’identification unique, qui relie l’e-mail au serveur de votre domaine. Le serveur qui porte le message de vous jusqu’à votre destinataire vérifie ensuite ce lien, étiquette votre e-mail comme fiable et le fait arriver directement dans la boîte de réception de votre destinataire.
Le rôle de DKIM dans la sécurité des e-mails
Utiliser DKIM est essentiel pour prévenir la fraude, le spam et les tentatives d’hameçonnage. DKIM empêche des utilisateurs malveillants de se servir du domaine e-mail de votre entreprise (la partie de l’adresse e-mail qui suit l’arobase « @ ») pour se faire passer pour vous ou pour votre société. Si vous utilisez DKIM dans votre entreprise, toute personne non déclarée qui tente d’employer votre domaine e-mail pour arnaquer vos clients verra ses messages partir droit dans les spams, ou ne jamais être livrés.
DKIM travaille avec les autres protocoles de sécurité e-mail, comme DMARC et SPF, pour sécuriser l’ensemble des envois. En les faisant jouer en équipe, vos e-mails présentent moins de failles qu’avec DKIM seul dans votre stratégie. L’adoption est déjà large : sur les domaines que nous testons, 87 % signent leurs envois avec une clé DKIM fonctionnelle, et les 13 % restants apparaissent ostensiblement non authentifiés aux yeux des serveurs destinataires.
Les points forts et les bénéfices de DKIM
Le principal bénéfice de DKIM, c’est qu’il est extrêmement sûr et simple à mettre en place.
Le déployer renforce aussi la confiance de votre clientèle. Si une seule personne parvient à se faire passer pour votre domaine e-mail et à arnaquer vos clients, c’est peut-être la fin de la réputation de votre marque. Même si vos clients ne sont pas escroqués, un seul e-mail suspect suffit pour que beaucoup d’entre eux blacklistent purement et simplement votre domaine e-mail.
Des e-mails mal sécurisés peuvent coûter très cher, à vous comme à vos clients. D’après le FBI, la compromission des messageries professionnelles a coûté aux victimes environ 50 milliards de dollars dans le monde.
Utiliser DKIM est un moyen simple et rapide d’éviter tous ces problèmes. Le protocole se met en place facilement et compte parmi les systèmes les plus stables et les plus sûrs de la sécurité e-mail.
DKIM sert même aux fournisseurs de messagerie comme Google et Yahoo à évaluer la fiabilité de votre domaine, ce qui construit votre crédibilité et votre réputation auprès d’eux. Vos e-mails ont alors plus de chances d’être livrés correctement.
À quoi sert DMARC et comment il fonctionne
DMARC, aussi appelé Domain-based Message Authentication Reporting & Conformance, est une stratégie de sécurité e-mail qui s’appuie sur les protocoles SPF et DKIM. Pour l’essentiel, DMARC donne au serveur de messagerie un moyen de traiter les e-mails rejetés par SPF et DKIM.
Avec trois options qui vont du rejet total à l’acceptation totale des e-mails non vérifiés, DMARC vous laisse construire votre propre stratégie de sécurité e-mail. L’intégrer à votre dispositif, c’est automatiser votre réponse aux cyberattaques et dormir tranquille en sachant qu’un plan existe pour riposter aux utilisateurs malveillants.
Comment DMARC complète DKIM
DMARC est la politique de sécurité de votre domaine. Elle dit quoi faire des e-mails rejetés par l’authentification SPF ou DKIM. Elle aide aussi les fournisseurs de messagerie à repérer les faux positifs dans le processus de vérification, ce qui renforce la sécurité de l’ensemble.
DKIM seul indique au serveur si un e-mail est authentique ou non. Il ne donne aucune consigne sur le sort du message, qu’il passe la vérification ou qu’il y échoue. DMARC est indispensable pour faire quelque chose de l’information que DKIM vous apporte. Il installe un mécanisme qui envoie les messages dans les spams ou refuse de les émettre quand ils ne passent pas les contrôles. DKIM et DMARC sont donc tous deux essentiels à un dispositif de sécurité e-mail complet.
C’est aussi là que la plupart des expéditeurs s’arrêtent. Nos données de benchmark montrent que 58 % des domaines que nous contrôlons publient désormais une politique DMARC, mais que 42 % n’en ont toujours aucune : beaucoup publient donc des signatures DKIM sans jamais dire aux serveurs destinataires quoi faire quand ces signatures échouent.
DKIM face à DMARC : différences clés et synergies
La différence principale entre DKIM et DMARC, c’est que l’un est un protocole de sécurité et l’autre une stratégie de sécurité. DKIM est un procédé de vérification qui détermine si un e-mail vient d’une source vérifiable et digne de confiance ou non. Ce protocole sait seulement détecter si un e-mail est mal sécurisé. Il ne peut pas décider de la suite.
DMARC est une stratégie de sécurité qui décide du sort des e-mails qui passent ou échouent à la vérification DKIM. Ce système s’appuie sur les informations reçues de la vérification DKIM pour trancher : quels e-mails rejeter, et lesquels laisser passer.
Ces deux procédés travaillent ensemble pour renforcer la sécurité e-mail : ils forment un dispositif en couches qui repère les failles et applique un plan pour les traiter, en refusant l’envoi ou simplement en marquant le message comme suspect dans la boîte de réception du destinataire.
Mettre en place DKIM et DMARC pour mieux sécuriser vos e-mails
Guide pas à pas pour configurer DKIM
Configurer DKIM est simple si vous suivez les étapes ci-dessous. Il vous faut d’abord une paire de clés, qui garantit que personne ne peut copier votre signature e-mail. Une clé publique sera ajoutée aux enregistrements DNS et une clé privée sera conservée en lieu sûr sur le serveur de votre ESP. Les deux clés travaillent ensemble pour authentifier et vérifier les e-mails.
La façon d’accéder à ces clés dépend de votre fournisseur. En général, il faut demander les clés DKIM dans les paramètres de votre compte, ou contacter directement votre prestataire. Pensez à choisir un ESP qui prend explicitement en charge la sécurité DKIM. Tous ne le font pas.
Une fois vos clés en main, vous pouvez publier la clé publique sur le serveur DNS au moyen d’enregistrements DNS TXT. Vous devez respecter le format [selector]._domainkey.[domain]. Le sélecteur sera votre clé publique.
Quant à la clé privée, votre ESP l’ajoute en général à ses serveurs sans que vous ayez quoi que ce soit à faire.
Concevoir et déployer une politique DMARC
La première étape, quand vous créez votre politique DMARC, consiste à décider du niveau d’application que vous voulez imposer aux e-mails qui échouent à la vérification. Voici à quoi ressemble un enregistrement DMARC type :
v=DMARC1; p=quarantine; rua=unspam:emailsecurity@example.com;
Vous pouvez modifier le tag « p= » pour fixer votre niveau d’application. Avec p=none, vous recevez un relevé de la vérification échouée, mais l’e-mail part quand même. Avec p=quarantine, il part aussi, mais il est marqué comme spam : le destinataire devra le chercher dans son dossier spam. Le niveau le plus strict, p=reject, refuse automatiquement d’envoyer l’e-mail s’il échoue aux contrôles d’authentification DMARC ou SPF.
Le premier tag, « v=DMARC1 », reste toujours identique, et le dernier, « rua= », indique simplement l’adresse e-mail à laquelle vous souhaitez recevoir votre rapport DMARC.
Bonnes pratiques pour optimiser l’authentification des e-mails avec DKIM et DMARC
Plusieurs étapes clés méritent votre attention pour mettre DKIM en œuvre efficacement. Veillez à renouveler régulièrement vos paires de clés, afin de garder une longueur d’avance sur les cyberattaques qui guettent les clés immuables. Vérifiez aussi que vous avez bien suivi la procédure fournie par votre ESP pour installer vos clés : ne partez pas du principe qu’il publiera la clé publique à votre place, même si la plupart le font. Entretenez enfin votre sécurité e-mail en testant votre dispositif à la recherche de failles et en ajustant votre stratégie d’authentification en conséquence. Pour confirmer rapidement que votre signature est valide, passez votre domaine dans un DKIM checker gratuit, avant et après le renouvellement de vos clés.
De même, une stratégie DMARC efficace demande d’être proactif et de suivre les bonnes pratiques. Assurez-vous qu’elle répond aux besoins précis de votre marque. Toutes les entreprises n’ont pas besoin de rejeter leurs e-mails suspects sans les examiner, alors que d’autres y sont contraintes.
Veillez toujours à ce que votre sécurité hors de la messagerie soit au niveau de celle qui règne à l’intérieur. Cela suppose des mots de passe uniques pour chaque service, aucune information privée partagée sur un réseau Wi-Fi public, et un site web protégé.
Études de cas : DKIM et DMARC en situation réelle
Paypal
PayPal fait partie des entreprises qui ont fondé le standard DMARC en 2012, aux côtés de Yahoo, Microsoft et Google. Trent Adams, président de DMARC.org et responsable de la sécurité de l’écosystème chez Paypal, s’est souvent exprimé sur l’efficacité des politiques de sécurité e-mail de Paypal. Son engagement à la fois chez PayPal et dans DMARC est certainement l’une des raisons pour lesquelles PayPal a joué un rôle de pionnier dans les standards de sécurité e-mail.
L’entreprise a gagné en sécurité et sa réputation de fiabilité n’a cessé de croître grâce à cette attention portée à la sécurité e-mail. Dans le secteur financier, entretenir une relation sûre et de confiance avec ses clients est vital pour rester en activité, et PayPal illustre parfaitement ce qu’un investissement précoce dans la sécurité e-mail peut rapporter.
Les forces de l’ordre
Un autre secteur où tous les e-mails doivent être sécurisés est celui des forces de l’ordre. Quelques jours seulement après la mise en place, un service de police a vu plus de 500 e-mails rejetés par DKIM et signalés par DMARC en 24 heures à peine. Ces données lui ont permis de démasquer des attaquants qui utilisaient son domaine e-mail pour s’en prendre à des utilisateurs partout aux États-Unis.
Au cours de la découverte de cette attaque, plus de 43 000 e-mails ont été rejetés par DMARC comme « malveillants ». Des dizaines de milliers de personnes ont donc été protégées de cyberattaques par un seul service qui appliquait des politiques de sécurité e-mail. Ce service utilisait le niveau d’application DMARC le plus élevé, « p=reject », pour garantir qu’aucun e-mail ne puisse partir en cas d’échec de la vérification DKIM ou SPF.
Quand la sécurité est votre priorité absolue, vous devez employer le niveau d’application DMARC le plus élevé, afin qu’aucun e-mail malveillant n’ait la moindre chance d’atteindre vos utilisateurs.
Questions fréquentes sur DKIM et DMARC
Puis-je avoir plusieurs enregistrements DKIM ?
Bien des raisons peuvent vous pousser à vouloir plusieurs enregistrements DKIM. Peut-être que votre entreprise passe par des prestataires e-mail tiers pour son activité et doit prouver que ces domaines sont fiables aussi. Autre raison : vous voudrez peut-être faire tourner vos enregistrements DKIM pour renforcer la sécurité de votre société. Certains spécialistes le recommandent, afin que vos protocoles de sécurité ne soient jamais faciles à percer pour un utilisateur malveillant.
Dans les deux cas, la réponse est oui : il est possible d’avoir plusieurs enregistrements DKIM. Pour cela, vous devez configurer des paires de clés DKIM distinctes pour chaque prestataire ou chaque enregistrement supplémentaire souhaité. Il suffit ensuite de reprendre la procédure initiale pour installer votre jeu de clés dans vos enregistrements DNS et dans votre serveur de messagerie.
Puis-je générer moi-même ma paire de clés DKIM ?
Oui, il est possible de générer vous-même votre paire de clés DKIM. Si vous ne voulez pas passer par votre ESP, vous pouvez créer vos clés à la main avec des logiciels en ligne gratuits.
Ces programmes se servent de vos informations pour produire un jeu de clés unique, propre à votre domaine. Il vous faudra malheureusement quand même contacter votre ESP pour que votre clé privée soit stockée sur son serveur de messagerie.
Comment savoir si DMARC fonctionne ?
Vous pouvez consulter facilement des rapports réguliers sur le comportement de votre configuration DMARC, ce qui confirme que vos politiques de sécurité fonctionnent, et un DMARC checker gratuit vous permet de vérifier que votre enregistrement est correctement publié avant de vous fier à ces rapports. Quand vous configurez le protocole DMARC, vous renseignez un domaine RUA pour le relier au système. C’est l’adresse e-mail à laquelle vos rapports seront envoyés. Chaque fois qu’un e-mail est rejeté par les protocoles SPF ou DKIM, le système vous renvoie un retour sur son statut. De quoi produire des e-mails mieux sécurisés, qui franchissent les protocoles de sécurité, ou attraper les utilisateurs malveillants qui tentent d’usurper votre domaine.
Gardez en tête que DMARC peut mettre quelques jours à se mettre en route : pas de panique si les résultats ne sont pas immédiats.
Conclusion : sécuriser votre écosystème e-mail
Beaucoup d’entreprises de données emploient DKIM et DMARC ensemble avec succès depuis des années. Les deux protocoles vont de pair pour produire des e-mails sûrs, qui installent la confiance avec vos clients.
Ce guide a détaillé les différences entre DKIM et DMARC, la façon dont ils travaillent ensemble et l’usage qu’en ont fait des entreprises avec de très bons résultats. Beaucoup peinent à distinguer ces deux procédés, mais si vous avez suivi ce guide, vous en savez désormais long sur chacun.
Si vous cherchez encore la meilleure façon de mettre en place les protocoles DMARC et DKIM, il est peut-être temps de consulter un consultant en délivrabilité.
