Base de Connaissances

Scénario

Ce processus peut prendre plusieurs semaines ou plusieurs mois, selon la taille de votre organisation (plus elle est grande, plus le processus est long). Il est donc préférable de commencer dès maintenant.

Cet article est un guide général destiné à vous donner un aperçu du processus de base. Pour obtenir un tutoriel plus détaillé, étape par étape, nous vous invitons à télécharger notre guide complet sur DMARC et BIMI. Notez que chaque service et fournisseur DNS utilise des interfaces et des processus différents pour configurer ces enregistrements. Nous vous recommandons de contacter votre fournisseur pour obtenir une assistance supplémentaire. 

Solution

Qu’est-ce que DMARC?

DMARC (Domain-based Message Authentication, Reporting & Conformance) est un protocole d’authentification, de politique et de création de rapports pour les e-mails qui permet aux organisations de protéger leur domaine contre toute utilisation non autorisée, notamment l’usurpation d’identité et le phishing. Avant de pouvoir prétendre à un VMC, vous devez d’abord vous assurer que votre organisation est conforme à DMARC.

Ce dont vous aurez besoin

Avant de commencer, assurez-vous de disposer des éléments suivants:

1. Un éditeur .txt (par exemple, Notepad++, Vim, Nano, etc.)
   
   
2. Un accès aux enregistrements DNS de votre domaine
   Remarque: Si vous ne gérez pas votre DNS, contactez votre administrateur de serveur ou votre fournisseur de services. DigiCert ne peut pas modifier ces enregistrements.
    

Étape 1: collecter les adresses IP pour SPF

Configurez Sender Policy Framework (également appelé SPF). Cela empêchera les adresses IP non autorisées d’envoyer des e-mails depuis votre domaine.

Commencez par dresser la liste de toutes les adresses IP autorisées que vous pouvez identifier et qui envoient actuellement des e-mails depuis votre domaine.
 

Il peut notamment s’agir des éléments suivants:

• Serveur web
• Serveur de messagerie interne
• Serveur de messagerie du fournisseur d’accès à Internet
• Tout serveur de messagerie tiers
   

Ne vous inquiétez pas si vous ne parvenez pas encore à trouver toutes les adresses IP. La surveillance DMARC (étape 4) vous permettra de les identifier. Toutefois, vous gagnerez du temps en en recensant autant que possible à ce stade.

Étape 2: créer un enregistrement SPF pour votre ou vos domaines

1. Ouvrez votre éditeur de texte et créez un enregistrement SPF pour chaque domaine.
   Exemple 1: v=spf1 ip4:1.2.3.4 ip4:2.3.4.5 ip4:x.x.x.x -all
   Exemple 2: v=spf1 ip4:1.2.3.4 ip4:2.3.4.5 include:thirdparty.com -all
   
   
2. Enregistrez le fichier et publiez-le dans votre DNS.
   
   
3. Utilisez un outil SPF (tel que celui de notre partenaire Valimail) pour vérifier que toutes les informations ont été saisies correctement.
    

Étape 3: configurer DKIM

DKIM est une norme d’authentification des e-mails qui utilise la cryptographie à clé publique/privée pour signer les e-mails. Elle empêche la modification des messages pendant leur transmission.

1. Choisissez un sélecteur DKIM.
   Exemple: “standard._domain.example.com” = nom d’hôte
   
   
2. Générez une paire de clés publique/privée pour votre domaine.
   Windows: utilisez PUTTYGen
   Linux/Mac: utilisez ssh-keygen
   
   
3. Créez et publiez un nouvel enregistrement .TXT via votre console de gestion DNS.
   Il doit se présenter comme suit: v=DKIM1; p=YourPublicKey
    

Étape 4: surveiller, communiquer et répéter

Configurez DMARC afin de commencer à surveiller votre trafic de messagerie actuel et d’établir une base de référence fiable permettant d’identifier ce qui est autorisé (et ce qui sera ensuite mis en quarantaine ou rejeté par DMARC).

Remarque: Prendre le temps d’effectuer cette surveillance maintenant permettra d’éviter que des messages importants soient perdus ou définitivement supprimés une fois DMARC entièrement activé.

Voici comment commencer à surveiller votre trafic avec DMARC:

1. Assurez-vous d’avoir correctement configuré SPF et DKIM.
2. Créez un enregistrement DNS.
   L’enregistrement DMARC “txt” doit porter un nom similaire à “_dmarc.your_domain.com.”
   Exemple: “v=DMARC1;p=none; rua=mailto:dmarcreports@your_domain.com”
   
   Si vous gérez le DNS de votre domaine, créez un enregistrement DMARC “p=none” (mode de surveillance) de la même manière que les enregistrements SPF et DKIM.
   Si vous ne gérez pas le DNS, demandez à votre fournisseur DNS de créer l’enregistrement DMARC pour vous.
   
   
3. Testez votre enregistrement DMARC à l’aide d’un outil de vérification DMARC.
   Remarque: Vous devez généralement attendre 24 à 48 heures pour la réplication.
   DMARC commencera alors à générer des rapports qui vous donneront une visibilité importante sur les e-mails envoyés depuis votre domaine, notamment les messages signalés par SPF et DKIM.
   
   Important: C’est à ce stade que vous pourrez déterminer si des expéditeurs légitimes apparaissent dans le rapport alors qu’ils n’avaient pas été inclus auparavant dans votre enregistrement SPF (étape 1). Si c’est le cas, veillez à mettre à jour votre enregistrement en conséquence.
   
   Le problème? Ces rapports sont fournis sous forme de fichiers XML qui ne sont pas particulièrement faciles à lire. Comme vous passerez beaucoup de temps à examiner ces données, nous vous recommandons vivement d’utiliser un outil de traitement des rapports DMARC (tel que celui de Valimail) afin de faciliter considérablement leur analyse.
    

Étape 5: communiquer, puis renforcer progressivement l’application de la politique

Après avoir surveillé votre messagerie suffisamment longtemps pour identifier les messages légitimes signalés comme non autorisés, vous pouvez commencer à renforcer l’application de la politique.

DMARC comporte deux niveaux d’application: “quarantine” et “reject”. “Reject” est évidemment beaucoup plus sécurisé et constitue donc notre recommandation finale, mais l’un ou l’autre de ces niveaux permettra à votre domaine de répondre aux critères d’obtention d’un VMC.
 

Toutefois, avant de passer directement à reject, la solution la plus sûre consiste à utiliser quarantine pendant un certain temps. Procédez comme suit:

1. Connectez-vous à votre serveur DNS et recherchez l’enregistrement DMARC.
   
   
2. Ouvrez l’enregistrement DMARC du domaine concerné et modifiez la politique de “p=none” à “p=quarantine”.
   Exemple:
   “v=DMARC1;p=quarantine;pct=10;rua=mailto:dmarcreports@your_domain.com“
   
   
3. Ajoutez l’indicateur “pct” (% de messages soumis au filtrage). Nous vous recommandons de commencer par 10 % et d’augmenter progressivement ce pourcentage jusqu’à atteindre 100 %.
   
   Une fois le filtrage à 100 %, votre domaine répond officiellement aux critères VMC et vous pouvez commencer à utiliser reject.
   
   
4. Ouvrez votre enregistrement DMARC et remplacez “p=quarantine” par “p=reject”.