Pourquoi faut-il authentifier les emails d'une application ?
Une adresse d'expéditeur est facile à imiter. Sans mécanisme d'authentification, un serveur destinataire ne peut pas savoir si le message vient réellement de votre infrastructure ou d'une personne qui usurpe votre domaine.
SPF, DKIM et DMARC publient dans le DNS les informations dont les serveurs destinataires ont besoin pour effectuer cette vérification. Ils ne garantissent pas la boîte principale, mais constituent une base indispensable pour envoyer proprement.
SPF : quels serveurs ont le droit d’envoyer ?
SPF, pour Sender Policy Framework, est un enregistrement DNS qui liste les infrastructures autorisées à envoyer des emails pour un domaine. Lorsqu'un message arrive, le serveur destinataire compare l'adresse IP utilisée avec cette liste.
SPF vérifie surtout le domaine technique utilisé pendant le transport du message. Il ne suffit donc pas, à lui seul, à protéger l'adresse From visible dans la boîte de réception.
- Publiez un seul enregistrement SPF par domaine.
- Ajoutez tous les services qui envoient réellement pour ce domaine.
- Retirez les anciens fournisseurs lorsque vous ne les utilisez plus.
DKIM : le message porte une signature vérifiable
DKIM, pour DomainKeys Identified Mail, ajoute une signature numérique aux en-têtes de l'email. Le service d'envoi signe le message avec une clé privée ; le serveur destinataire récupère la clé publique correspondante dans le DNS et vérifie la signature.
Une signature DKIM valide indique que le domaine a autorisé le message et que les parties signées n'ont pas été modifiées pendant le transport. DKIM ne chiffre pas le contenu : le destinataire peut lire le message normalement.
- La clé privée reste protégée chez le service d'envoi.
- La clé publique est publiée sous un nom comme spore._domainkey.exemple.fr.
- Le sélecteur permet de changer de clé sans interrompre les envois.
DMARC : que faire lorsqu’un contrôle échoue ?
DMARC relie l'adresse From visible aux résultats SPF et DKIM. Il vérifie qu'au moins l'un des domaines authentifiés est aligné avec le domaine présenté au destinataire.
Le propriétaire du domaine publie également une politique indiquant comment traiter les messages non alignés : les observer, les placer en quarantaine ou les rejeter. Les rapports DMARC aident ensuite à repérer les services oubliés et les tentatives d'usurpation.
Comment les trois mécanismes travaillent-ils ensemble ?
SPF vérifie l'infrastructure de transport. DKIM vérifie la signature du message. DMARC s'assure que le résultat correspond au domaine visible et applique la politique publiée.
Un déploiement prudent commence généralement par SPF et DKIM, puis par une politique DMARC d'observation. Les rapports permettent de corriger les sources légitimes avant de renforcer progressivement la politique.
Que prend en charge Spore ?
Lorsque vous ajoutez un domaine, Spore génère les éléments DNS à publier et vérifie leur présence. Les clés DKIM sont créées et conservées côté serveur, puis chaque message est signé automatiquement.
Vous gardez la maîtrise de votre DNS sans avoir à générer une paire de clés, construire une signature ou exploiter votre propre serveur SMTP.