Pourquoi n'importe qui peut écrire en votre nom

Le courrier électronique a été conçu dans les années 1980, entre des universités qui se faisaient confiance. Rien, dans le protocole d'origine, ne vérifie l'identité de l'expéditeur. Écrire un e-mail qui affiche [email protected] ne demande ni mot de passe, ni piratage, ni compétence particulière. C'est comme écrire le nom que l'on veut au dos d'une enveloppe postale.

Concrètement, un escroc peut envoyer une facture à vos clients avec vos couleurs, votre signature et votre adresse d'expéditeur, en changeant simplement le numéro de compte bancaire. Il peut aussi écrire à votre comptable en se faisant passer pour vous et réclamer un virement urgent. C'est le mécanisme de la fraude au président, qui coûte chaque année des millions aux entreprises suisses.

Trois mécanismes ont été ajoutés au fil du temps pour combler ce trou : SPF, DKIM et DMARC. Ce sont de simples lignes de texte publiées dans la configuration de votre nom de domaine. Elles ne coûtent rien. Dans la majorité des PME romandes, elles sont absentes ou mal réglées, souvent parce que personne ne s'est jamais posé la question.

SPF : la liste de vos expéditeurs autorisés

SPF est une liste publique des serveurs autorisés à envoyer des e-mails pour votre domaine. Votre hébergeur de messagerie y figure, ainsi que votre logiciel de facturation, votre outil d'infolettre et le formulaire de contact de votre site.

Quand un message arrive chez votre client, son serveur consulte cette liste et compare avec l'expéditeur réel. Si le message vient d'un serveur inconnu, il est suspect. La fin de la liste indique ce qu'il faut en faire. Un enregistrement qui se termine par -all demande un rejet ferme. ~all demande seulement de considérer le message comme douteux. ?all ou +all ne demandent rien du tout et rendent la protection inutile.

La correction consiste à recenser tous vos services d'envoi, puis à publier un enregistrement unique qui les liste. Un domaine ne doit jamais porter deux enregistrements SPF : la vérification échoue alors chez la plupart des destinataires.

DKIM : la signature qui prouve l'origine

DKIM ajoute une signature électronique invisible à chaque message que vous envoyez. Votre serveur signe avec une clé privée, connue de lui seul. Votre domaine publie la clé publique correspondante. Le destinataire vérifie la signature et sait deux choses : le message vient bien de votre infrastructure, et son contenu n'a pas été modifié en route.

La clé publique est publiée sous un nom appelé sélecteur. Chaque hébergeur utilise le sien. Cette particularité a une conséquence importante pour notre outil : il est impossible de deviner un sélecteur depuis l'extérieur. Nous testons les plus répandus, mais une absence de détection ne prouve jamais l'absence de DKIM.

La correction est presque toujours une case à cocher chez votre hébergeur de messagerie. Il génère la clé et vous indique la ligne à publier dans votre zone DNS.

DMARC : la consigne donnée aux autres

SPF et DKIM permettent de détecter une usurpation. Ils ne disent pas quoi en faire. Sans instruction, chaque serveur décide seul, et la plupart livrent quand même le message. C'est le rôle de DMARC : donner la consigne, publiquement, une fois pour toutes.

Trois consignes existent. p=none ne demande aucune action et sert uniquement à observer. p=quarantine demande de classer le message en indésirable. p=reject demande de le refuser, sans même le livrer dans le dossier des indésirables. Seule cette dernière protège réellement vos clients.

DMARC apporte un second bénéfice, trop peu utilisé. En ajoutant une adresse de rapport, vous recevez chaque jour la liste des serveurs qui envoient des messages en votre nom. Vous découvrez alors vos propres services oubliés, et les tentatives d'usurpation dont vous êtes la cible.

La mise en place se fait toujours en trois temps, jamais d'un coup. D'abord p=none pendant quelques semaines pour observer, puis p=quarantine, puis p=reject. Passer directement au rejet ferait disparaître vos propres factures et vos confirmations de commande.

Ce que cet outil ne teste pas

Cet outil lit trois enregistrements publics. Il ne se connecte à aucun serveur, n'envoie aucun message et n'accède à aucune boîte. Il ignore donc plusieurs choses importantes.

Il ne vérifie pas que votre enregistrement SPF est exact : un domaine peut publier une liste correcte en apparence, mais qui a oublié votre logiciel de facturation. Il ne détecte pas les sélecteurs DKIM personnalisés. Il ne teste pas les domaines proches, ceux qu'un escroc enregistre en changeant une lettre pour contourner toutes ces protections. Il ne dit rien de la sécurité de vos boîtes elles-mêmes : une boîte e-mail piratée envoie des messages parfaitement authentifiés, puisqu'ils partent de votre véritable compte.

Ces protections ne filtrent pas non plus ce que vous recevez. Contre le phishing qui arrive dans vos boîtes, il faut un filtrage dédié et des collaborateurs entraînés à repérer les signaux. Pour situer l'ensemble de votre protection, le check-up cyber couvre les douze mesures fondamentales en trois minutes. Les autres outils du site complètent le tableau.