Spoofing : empêchez qu'on écrive en votre nom
Qu'est-ce que le spoofing e-mail ?
Le spoofing est la falsification de l'expéditeur d'un e-mail. Quelqu'un envoie un message qui semble provenir de vous@votreentreprise.be, alors que vous n'y êtes pour rien. Le champ expéditeur d'un e-mail ordinaire est en effet aussi facile à remplir que l'expéditeur sur une enveloppe : vous pouvez y mettre ce que vous voulez.
Le spoofing est souvent utilisé pour l'hameçonnage et la fraude : des clients ou des collègues reçoivent un message « d'apparence authentique » de votre part, avec un faux numéro de compte ou une pièce jointe infectée. Vous-même n'en remarquez parfois pas grand-chose, jusqu'à ce que quelqu'un vous appelle au sujet d'un courrier que vous n'avez jamais envoyé. Cela va de pair avec l'hameçonnage, où le faux expéditeur rend l'appât crédible.
Pourquoi prévenir le spoofing e-mail est important
Si votre domaine est détourné, le dommage est double. Vos clients peuvent être escroqués en votre nom, et votre réputation et votre délivrabilité en prennent un coup : si beaucoup de faux courriers circulent depuis « votre » domaine, les serveurs destinataires finissent par se méfier aussi de votre vrai courrier.
Pour un comptable, un médecin ou une PME qui reposent sur la confiance, c'est un risque réel. Une seule facture frauduleuse « de votre part » peut coûter des milliers d'euros à un client et abîmer votre relation. Contrer le spoofing protège donc non seulement vous, mais aussi tous ceux qui reçoivent du courrier de votre domaine.
Il y a encore une distinction qui lève la confusion. Dans un véritable spoofing, l'attaquant utilise votre domaine exact dans l'adresse d'expéditeur ; c'est précisément ce que SPF, DKIM et DMARC peuvent verrouiller. Dans l'imitation, il utilise un nom de domaine ressemblant (par exemple avec une lettre en plus ou une autre extension) qui n'est pas le vôtre. Contre cette seconde forme, votre propre authentification n'aide pas, car il ne s'agit pas de votre domaine. Il est bon de connaître cette distinction, afin de savoir quelle partie vous maîtrisez vous-même et quelle partie demande de la vigilance.
Comment ça fonctionne
Sur la communauté security.nl, la question centrale a été posée de façon frappante : DKIM et DMARC aident-ils vraiment contre le spoofing ? La réponse courte : oui, à condition de les déployer ensemble. Trois conventions collaborent ici, chacune avec son propre rôle.
- SPF définit dans votre DNS quels serveurs peuvent envoyer au nom de votre domaine. Le destinataire vérifie qu'un message provient bien d'un tel serveur autorisé.
- DKIM appose une signature numérique sur votre courrier sortant. Le destinataire contrôle cette signature et sait ainsi que le message provient vraiment de votre domaine et n'a pas été modifié en chemin.
- DMARC lie l'ensemble. Il indique au destinataire ce qu'il faut faire si SPF ou DKIM ne correspond pas : ne rien faire, placer dans le spam, ou refuser fermement. DMARC fait aussi en sorte que l'adresse d'expéditeur visible doive correspondre à ce que SPF et DKIM prouvent (c'est ce qu'on appelle l'alignement).
C'est justement cette dernière étape qui fait la différence contre le spoofing. SPF et DKIM en eux-mêmes ne disent encore rien sur l'adresse « De » visible que voit le destinataire. Ce n'est qu'avec DMARC que vous exigez qu'un usurpateur se faisant passer pour votre domaine soit démasqué et refusé. Vous voulez comprendre précisément ce que fait DMARC ? Lisez alors ce qu'est DMARC. La configuration conjointe est expliquée pas à pas dans configurer SPF, DKIM et DMARC ensemble.
Ce à quoi vous devez faire attention
- DMARC commence en douceur. Vous démarrez généralement avec une politique qui se contente de rapporter (
p=none), afin de voir qui envoie en votre nom, avant de passer à la quarantaine ou au refus. - N'oubliez pas les expéditeurs légitimes. Si un service de newsletter ou un logiciel comptable envoie en votre nom, ils doivent figurer dans SPF et DKIM, sinon vous bloquez par erreur votre propre courrier.
- Éradiquer complètement le spoofing est impossible. Vous rendez l'abus de votre domaine beaucoup plus difficile, mais les attaquants peuvent encore basculer vers des domaines ressemblants. Restez donc aussi attentif aux signaux d'hameçonnage.
- L'entretien compte. Si votre infrastructure d'envoi change, vos enregistrements doivent suivre. Des enregistrements périmés sont eux-mêmes une source de problèmes.
- Cela touche votre délivrabilité. Une authentification correcte n'aide pas seulement contre le spoofing, elle fait aussi en sorte que votre propre courrier arrive mieux, comme décrit dans pourquoi le courrier atterrit dans le spam.
Encore un point pratique : utilisez les rapports DMARC que vous recevez en retour. Dès que DMARC est actif, les serveurs destinataires envoient des synthèses de tous ceux qui envoient au nom de votre domaine. Vous voyez ainsi non seulement les tentatives d'abus, mais vous découvrez aussi les services légitimes que vous devez encore ajouter, avant de durcir la politique. Lire ces rapports demande un peu d'habitude, mais ils vous donnent exactement l'aperçu nécessaire pour verrouiller le spoofing de façon ciblée sans bloquer votre propre courrier.
Et chez Mailflux
Chez Mailflux, nous gérons SPF, DKIM et DMARC pour votre domaine, afin que les messages falsifiés en votre nom passent beaucoup plus difficilement et que votre propre courrier envoie les bons signaux. Vous n'avez pas à plonger vous-même dans les enregistrements DNS ; nous les maintenons à jour lorsque quelque chose change.
Par-dessus cela, chaque formule filtre avec de l'apprentissage automatique contre le spam, l'hameçonnage et les logiciels malveillants, avec antivirus, antispam et antimalware en standard, des sauvegardes automatiques et, en option, la vérification en deux étapes. Vous obtenez de l'e-mail professionnel sur votre propre domaine, hébergé en Europe et conforme au RGPD.
FAQ
Questions fréquentes
DKIM et DMARC aident-ils vraiment contre le spoofing ?
Oui, mais ensemble. DKIM signe votre courrier pour que la falsification saute aux yeux, et DMARC impose que l'adresse d'expéditeur visible corresponde à ce que SPF et DKIM prouvent. Sans DMARC, l'adresse « De » reste facile à falsifier ; avec une politique DMARC stricte, le spoofing de votre domaine est refusé.
Puis-je arrêter complètement le spoofing ?
Vous rendez l'abus de votre propre domaine beaucoup plus difficile avec SPF, DKIM et une politique DMARC stricte. L'exclure totalement est impossible : les attaquants se rabattent sur des noms de domaine ressemblants qui ne sont pas les vôtres. C'est pourquoi la vigilance, chez vous et vos destinataires, reste un complément indispensable à la technique.
Quelqu'un écrit en mon nom, que faire ?
Vérifiez d'abord que SPF, DKIM et DMARC sont correctement configurés et durcissez DMARC au besoin. Prévenez les contacts touchés qu'un faux courrier circule. Si vous constatez qu'il s'agit d'un domaine ressemblant plutôt que de votre propre adresse, c'est de l'imitation et c'est surtout la sensibilisation qui aide.