Sender Policy Framework (SPF) est une norme d’authentification de messagerie utilisée pour empêcher les spammeurs d’envoyer des messages qui semblent provenir d’un domaine usurpé. Cela permet également de garantir que les e-mails sont livrés correctement – sans être livrés à la boîte de spam d’un destinataire.
SPF fonctionne en permettant aux organisations de spécifier les serveurs de messagerie autorisés à envoyer des e-mails à partir de leur domaine. Cela empêche quiconque d’usurper l’identité de l’organisation à l’aide d’un processus malveillant appelé usurpation d’e-mails.
Il est important de se rappeler que les organisations ont souvent plusieurs domaines. Cependant, seuls certains de ces domaines sont utilisés pour envoyer des e-mails. Par conséquent, il est essentiel pour les organisations de tirer parti de l’authentification qui empêche les cybercriminels d’exploiter les autres domaines pour envoyer des e-mails qui semblent provenir d’eux.
Toute organisation peut publier des serveurs de messagerie autorisés dans l’enregistrement DNS (Domain Name Service) en utilisant SPF, ce qui permet aux destinataires de valider l’origine de tous les e-mails reçus de leur part.
Pour permettre cela, le webmaster publie les informations SPF (une liste de serveurs de messagerie autorisés) dans l’enregistrement DNS TXT. Le serveur de messagerie de réception vérifie ensuite cet enregistrement SPF à l’aide d’un contrôle d’enregistrement SPF, qui recherche l’enregistrement SPF pour valider l’adresse IP de l’expéditeur.
Qu’est-ce qu’un enregistrement SPF?
L’enregistrement SPF est une liste de serveurs de messagerie autorisés qu’un webmaster publie dans le DNS en tant qu’enregistrement TXT. Cet enregistrement permet à tous les destinataires d’utiliser un outil de diagnostic (appelé contrôle d’enregistrement SPF) pour valider l’origine d’un e-mail. La configuration d’un enregistrement SPF est relativement simple et protège une organisation contre les attaques d’usurpation d’e-mails.
Une fois l’enregistrement SPF configuré, quiconque reçoit un e-mail peut vérifier qu’il provient d’un serveur autorisé. Si un e-mail provient d’un domaine non autorisé, le serveur peut traiter l’e-mail comme du spam et l’exclure en le rejetant ou en le rejetant.
Comment SPF protège-t-il contre le spam?
La mise en place d’une politique SPF permet aux serveurs de messagerie des destinataires de vérifier l’origine d’un e-mail. En conséquence, le destinataire peut vérifier si l’e-mail provient réellement de l’expéditeur dont il prétend provenir.
L’authentification SPF protège contre l’usurpation d’e-mails – une technique exploitée par les cybercriminels pour envoyer des e-mails de phishing et du spam qui semblent provenir de quelqu’un d’autre (l’organisation usurpée).
SPF empêche la falsification de l’adresse de l’expéditeur en comparant l’adresse IP de l’expéditeur de l’enveloppe au domaine d’envoi revendiqué. Si la vérification SPF échoue parce que l’administrateur n’a pas autorisé les e-mails de ce domaine, l’e-mail sera traité comme du spam et sera renvoyé ou rejeté.
Que se passe-t-il lorsque le SPF échoue?
Lorsqu’un contrôle d’enregistrement SPF échoue, le destinataire est informé que l’expéditeur n’est pas autorisé à envoyer un e-mail à partir de ce domaine. Ensuite, le serveur de messagerie peut rejeter ou renvoyer le message.
Lors du diagnostic effectué par le SPF Record Check, il est possible que l’analyse aboutisse à l’un des quelques messages différents. Nous avons décomposé ces qualificatifs ci-dessous pour les expliquer:
- Passe. L’enregistrement SPF désigne l’expéditeur comme autorisé à envoyer.
- Échouer. L’enregistrement SPF désigne l’expéditeur comme n’étant pas autorisé à envoyer.
- Rien. Impossible de résoudre le nom de domaine dans le DNS et / ou impossible de trouver l’enregistrement SPF pour le domaine.
- Neutre. L’enregistrement SPF indique qu’il n’affirme pas si l’adresse IP est autorisée. Le SPF neutre peut être interprété comme un succès ou un échec selon la configuration du serveur, mais il échoue généralement par défaut.
- Softfail. Il s’agit d’un message d’échec faible qui indique que l’expéditeur n’est probablement pas autorisé. Ce message s’est produit lorsque le domaine n’a pas mis en place une stratégie SPF forte qui entraîne une défaillance matérielle.
- Temperror. La vérification SPF a rencontré une erreur transitoire généralement causée par un délai d’expiration DNS. Cela entraînera généralement une nouvelle tentative plus tard, tant que la stratégie de nouvelle tentative sur le client est correctement configurée.
- Permerror. La vérification SPF n’a pas pu valider l’enregistrement SPF publié pour le domaine car plusieurs enregistrements SPF ont été trouvés sur le domaine, l’enregistrement SPF est écrit de manière incorrecte, le nombre de recherches DNS impliquées dans la vérification SPF a dépassé 10, le nombre de recherches vides impliquées dans le contrôle SPF dépassait deux.
Limitations de la vérification des enregistrements SPF
Un contrôle SPF valide par rapport au Chemin de retour valeur plutôt que le De en-tête pour déterminer l’authenticité d’un serveur d’origine. Le Return-Path est l’adresse utilisée par les serveurs de messagerie du destinataire pour communiquer avec l’expéditeur en cas de problème (pour renvoyer un e-mail, par exemple).
Le problème avec ceci est qu’un destinataire de courrier électronique verra le faux De adresse dans leur client de messagerie si l’e-mail est livré. Malheureusement, cela peut parfois arriver même si un e-mail échoue à une vérification SPF en fonction du FAI destinataire (qui prend la décision finale). Le défaut de SPF a depuis été corrigé par DMARC, une nouvelle norme qui résout le problème en authentifiant le De en-tête à la place.
Malgré ses lacunes, il est toujours préférable de mettre en place une politique SPF pour vos e-mails, car cela entraîne des signaux de confiance supplémentaires et augmente les chances qu’un e-mail passe les contrôles d’un FAI pour être livré avec succès plutôt que rejeté ou rejeté.
Comment vérifier l’enregistrement SPF d’un domaine
Si vous souhaitez vérifier et lire un enregistrement Sender Policy Framework pour un domaine, la bonne nouvelle est qu’il est en fait très simple. L’enregistrement SPF TXT est stocké dans la base de données DNS et est fourni avec les informations de recherche DNS afin que tout le monde puisse y accéder. En conséquence, vous pouvez le vérifier manuellement à partir de votre fenêtre d’invite de commande:
-
Lancez l’invite de commande (Démarrer> Exécuter> cmd)
-
Tapez « nslookup -type = txt » suivi d’un espace puis du nom de domaine. Par exemple: « nslookup -type = txt google.com »
-
Si un enregistrement SPF a été attaché au DNS, le résultat ressemblera à ceci: « v = spf1 ip4: 207.171.160.0/19 -all »
-
S’il n’y a aucun résultat ou s’il n’y a pas de propriété « v = spf1 », un problème est survenu lors de la récupération de l’enregistrement SPF ou il n’en existe pas.
Qu’est-ce que DKIM?
DomainKeys Identified Mail (DKIM) est une autre norme d’authentification de messagerie qui est vitale pour protéger à la fois les domaines contre l’usurpation d’identité et les destinataires des e-mails contre le spam et les e-mails de phishing. Ce que de nombreuses organisations ne réalisent peut-être pas, c’est que pour optimiser pleinement la sécurité de leur messagerie, elles doivent tirer parti de SPF, DKIM et DMARC.
DKIM fonctionne en garantissant que le contenu des e-mails n’a pas été compromis et peut être approuvé par le destinataire. Il a été initialement déployé en 2007 et a été mis à jour plusieurs fois depuis.
Qu’est-ce que DMARC?
L’authentification, la notification et la conformité des messages basées sur le domaine (DMARC) est un protocole utile qui combine SPF et DKIM dans un cadre de politique cohérent unique. De plus, il augmente la sécurité en liant le nom de domaine de l’expéditeur à ce qui est répertorié dans le De entête.
Quel protocole d’authentification de messagerie mon organisation doit-elle utiliser?
La seule façon d’optimiser la sécurité des e-mails de votre organisation est de tirer parti de ces trois protocoles importants. Ils ont tous des objectifs légèrement différents et offrent le plus haut niveau de sécurité lorsqu’ils sont utilisés ensemble.
Certes, la mise en place de ces normes pour tous vos domaines peut prendre du temps, mais c’est très important si vous voulez éviter les attaques de phishing sophistiquées qui conduisent à des cyberattaques.
D’une manière générale, c’est toujours une bonne idée de commencer par créer un enregistrement SPF – c’est le plus simple, après tout. Ensuite, vous devriez chercher à implémenter DKIM, puis DMARC.
En tirant parti des trois protocoles, vous vous assurerez que les messages ne peuvent pas être falsifiés facilement et que vos boîtes de réception ne reçoivent pas d’e-mails frauduleux qui pourraient causer de graves répercussions, telles que l’infection par des logiciels malveillants et le vol de données.
