Comment fonctionne la vérification
Notre serveur demande au résolveur public de Cloudflare les enregistrements MX et TXT du domaine, l’enregistrement TXT de _dmarc, les clés DKIM, les adresses des six premiers serveurs de messagerie et les enregistrements SPF de chaque include, jusqu’à 20. Il ne se connecte jamais aux serveurs de messagerie. Chaque enregistrement est ensuite lu selon les règles de sa norme : SPF (RFC 7208), DMARC (RFC 7489) et DKIM (RFC 6376).
SPF indique quels serveurs peuvent envoyer, DKIM signe chaque message, et DMARC relie les deux à l’adresse que voient les gens dans la ligne From et dit aux destinataires quoi faire quand les deux échouent. Les grands fournisseurs de messagerie vérifient les trois : les e-mails d’un domaine qui n’en a aucun finissent donc souvent dans les spams.
Exemple
Une boutique à example.com envoie ses e-mails via Google Workspace et un service de newsletter. Son enregistrement SPF est "v=spf1 include:_spf.google.com include:servers.mcsv.net ~all" : deux include, chacun une requête DNS, plus ce qu’ils incluent, bien en dessous de 10. Son enregistrement DMARC est "v=DMARC1; p=none; rua=mailto:[email protected]" : les rapports arrivent, mais les e-mails falsifiés sont toujours remis. Après quelques semaines de rapports ne montrant que ses propres e-mails, la boutique passe de p=none à p=quarantine.
Questions
Qu’est-ce qu’un enregistrement MX ?
Un enregistrement MX désigne un serveur qui reçoit les e-mails d’un domaine, avec un numéro de priorité. Les expéditeurs essaient d’abord le numéro le plus bas. Un domaine peut avoir plusieurs enregistrements MX pour la redondance ou pour répartir la charge ; sans aucun, les expéditeurs essaient l’adresse du domaine lui-même.
Quelle est la différence entre SPF, DKIM et DMARC ?
SPF liste les serveurs autorisés à envoyer pour un domaine. DKIM ajoute à chaque message une signature que les destinataires vérifient avec une clé publique dans le DNS. DMARC exige qu’au moins l’un des deux soit valide pour le domaine de l’adresse From, et indique ce que les destinataires doivent faire des e-mails en échec : rien, le dossier spam ou le rejet.
Que signifie p=none dans DMARC ?
p=none signifie surveillance seule : les destinataires envoient des rapports à l’adresse rua mais remettent les e-mails en échec comme d’habitude. C’est la bonne première étape, pour voir quels services envoient des e-mails au nom de votre domaine. Passez à p=quarantine puis à p=reject quand les rapports montrent que vos propres e-mails passent.
Quelle est la limite de 10 requêtes DNS de SPF ?
La vérification d’un enregistrement SPF ne peut coûter que 10 requêtes DNS au maximum. Chaque include, a, mx, ptr, exists et redirect compte pour une, y compris ceux des enregistrements inclus. Au-delà de 10, les destinataires s’arrêtent sur une erreur permanente et SPF échoue pour tous vos e-mails. Supprimez les include que vous n’utilisez plus, ou remplacez-en un par les plages ip4 et ip6 qu’il représente.
SPF doit-il se terminer par ~all ou -all ?
Les deux protègent le domaine. -all indique aux destinataires de faire échouer les e-mails des serveurs non listés ; ~all leur dit de les accepter en les traitant comme suspects. Avec DMARC en place, les destinataires suivent de toute façon la politique DMARC : ~all est donc le choix courant, et -all convient à un domaine qui n’envoie aucun e-mail.