Sécurité de la messagerie en entreprise : SPF, DKIM et DMARC expliqués (+ feuille de route)

Sécurité de la messagerie en entreprise : SPF, DKIM et DMARC expliqués (+ feuille de route)

L'e-mail reste le principal moyen de communication des entreprises, mais aussi la cible favorite des cybercriminels. Avec une sécurité de la messagerie bien configurée grâce à SPF, DKIM et DMARC, vous protégez votre organisation et empêchez des criminels d'envoyer des e-mails au nom de votre entreprise. Dans cet article, nous expliquons ces trois protocoles en termes simples et vous proposons une feuille de route concrète.

L'essentiel (TL;DR)

• 58 % des entreprises néerlandaises ont été confrontées à du phishing par e-mail : cela reste le vecteur d'attaque numéro 1
• Seules 13 % des organisations néerlandaises utilisent correctement DMARC, le taux le plus bas de tous les pays étudiés
• SPF, DKIM et DMARC forment ensemble une protection de la messagerie à trois niveaux qui réduit considérablement l'usurpation (spoofing) et le phishing
• Google et Yahoo exigent DMARC depuis février 2024 pour les expéditeurs en masse : sans DMARC, vos e-mails finissent dans les spams
• La mise en œuvre prend 3 à 4 mois, de l'audit à la protection complète, avec la bonne feuille de route
• Les rapports DMARC vous montrent qui envoie des e-mails au nom de votre domaine

Pourquoi l'e-mail est le vecteur d'attaque numéro 1

Selon une étude récente, 58 % des entreprises néerlandaises ont été confrontées à du phishing par e-mail au cours de l'année écoulée. En outre, 80 % des organisations interrogées indiquent que l'usurpation d'adresse e-mail se maintient, voire augmente.

La raison est simple : le protocole de messagerie d'origine (SMTP), qui date des années 1980, ne comporte aucune authentification intégrée. Techniquement, n'importe qui peut envoyer un e-mail avec n'importe quelle adresse d'expéditeur. Sans sécurité de la messagerie complémentaire, un criminel peut envoyer un message qui semble provenir de votre PDG ou d'un fournisseur.

Ce problème est aggravé par les attaques de phishing pilotées par l'IA, de plus en plus convaincantes. Les attaques modernes sont difficiles à distinguer de messages authentiques.

Le problème DMARC aux Pays-Bas

Les Pays-Bas affichent des résultats particulièrement faibles en matière de sécurité de la messagerie. Seules 13 % des organisations néerlandaises disposent d'une configuration DMARC correcte, le taux le plus bas de tous les pays étudiés. Plus inquiétant encore : 41,5 % n'ont configuré aucun enregistrement DMARC.

Cela signifie que près de la moitié des domaines d'entreprise néerlandais sont vulnérables à l'usurpation d'adresse e-mail. La directive NIS2 renforce les exigences en matière de résilience numérique, et la sécurité de la messagerie en fait expressément partie. Attendre n'est plus une option.

SPF expliqué : qui peut envoyer des e-mails au nom de votre domaine ?

SPF (Sender Policy Framework) est la première ligne de défense. Il fonctionne comme une liste d'invités : via un enregistrement DNS TXT, vous indiquez quels serveurs de messagerie sont autorisés à envoyer des e-mails au nom de votre domaine.

Exemple d'enregistrement SPF :

v=spf1 include:spf.protection.outlook.com include:_spf.google.com -all

Cet enregistrement indique que seuls Microsoft 365 et Google Workspace peuvent envoyer des e-mails pour ce domaine. Le -all signifie que tous les autres serveurs sont rejetés.

Limite de SPF : il ne vérifie que l'adresse d'expéditeur technique (envelope-from), pas l'adresse « De » visible par le destinataire. C'est pourquoi DKIM et DMARC sont nécessaires en complément.

DKIM expliqué : une signature numérique pour vos e-mails

DKIM (DomainKeys Identified Mail) ajoute une signature numérique à chaque e-mail sortant. Le serveur destinataire peut ainsi vérifier que l'e-mail provient bien de votre domaine et qu'il n'a pas été modifié en chemin.

DKIM repose sur une paire de clés publique et privée :

1. Clé privée : stockée sur votre serveur de messagerie, elle signe chaque e-mail sortant
2. Clé publique : publiée sous forme d'enregistrement DNS pour que les destinataires puissent vérifier la signature

DKIM prouve deux choses : l'e-mail vient réellement de votre domaine et son contenu n'a pas été modifié pendant le transport. Si vous utilisez Microsoft 365, vous pouvez activer DKIM via l'Exchange Admin Center.

DMARC expliqué : la vue d'ensemble

DMARC (Domain-based Message Authentication, Reporting & Conformance) est la clé de voûte de la sécurité de votre messagerie. Il combine SPF et DKIM et ajoute une couche de stratégie qui détermine ce qui doit se passer lorsque l'authentification échoue.

Les trois niveaux de stratégie DMARC

Exemple d'enregistrement DMARC :

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@votredomaine.fr; pct=100

Lire les rapports DMARC

En renseignant le champ rua, vous recevez chaque jour des rapports XML envoyés par les serveurs de messagerie destinataires. Ils indiquent quels serveurs envoient des e-mails au nom de votre domaine et si les contrôles SPF et DKIM réussissent. Dans la phase initiale en p=none, ces rapports vous servent à identifier les services légitimes (outils marketing, CRM, logiciels de ticketing). Vous évitez ainsi de bloquer des e-mails légitimes lorsque vous durcissez la stratégie.

Feuille de route : de zéro à une messagerie entièrement sécurisée

Une mise en œuvre réussie de DMARC ne se fait pas en un jour. Voici une feuille de route éprouvée.

Semaine 1 : audit de la situation actuelle

• Vérifiez si votre domaine dispose déjà d'enregistrements SPF, DKIM et DMARC
• Utilisez des outils gratuits comme MXToolbox pour analyser votre configuration actuelle
• Recensez tous les services qui envoient des e-mails au nom de votre domaine

Semaines 2 et 3 : configurer SPF et DKIM

• Créez un enregistrement SPF complet incluant tous les serveurs de messagerie autorisés
• Activez la signature DKIM sur votre serveur de messagerie ou chez votre fournisseur de messagerie
• Testez les deux configurations avec des outils de validation en ligne

Semaine 4 : passer DMARC en mode surveillance

• Créez un enregistrement DMARC avec p=none
• Configurez l'adresse rua pour recevoir les rapports

Mois 2 et 3 : analyser et optimiser

• Analysez les rapports DMARC pour identifier toutes les sources d'e-mails légitimes
• Ajoutez les serveurs manquants à votre enregistrement SPF et corrigez les problèmes DKIM

Mois 4 et au-delà : durcir la stratégie

• Passez à p=quarantine et surveillez les résultats
• Après une période stable : passez à p=reject pour une sécurité maximale de la messagerie

Google et Yahoo exigent DMARC

Depuis février 2024, Google et Yahoo exigent que les expéditeurs en masse (plus de 5 000 e-mails par jour) disposent d'un enregistrement DMARC valide. Sans DMARC, vos e-mails risquent de ne pas être distribués ou de finir dans les spams.

Même si vous n'êtes pas un expéditeur en masse, DMARC est essentiel. De plus en plus de fournisseurs de messagerie utilisent DMARC comme signal de réputation du domaine. Associez DMARC à l'authentification multifacteur sur tous vos comptes de messagerie pour une couche de sécurité encore plus solide.

Au-delà de SPF, DKIM et DMARC : la sécurité avancée de la messagerie

SPF, DKIM et DMARC constituent la base, mais une protection complète demande davantage :

• Advanced Threat Protection (ATP) : analyse en temps réel des pièces jointes et des liens à la recherche de logiciels malveillants et de phishing
• Sandboxing : ouvre les pièces jointes suspectes dans un environnement isolé pour détecter les menaces zero-day
• Formation de sensibilisation à la sécurité : apprenez à vos collaborateurs à reconnaître le phishing, y compris dans les e-mails qui passent tous les contrôles techniques

Une stratégie de cybersécurité solide associe mesures techniques et sensibilisation. La technologie intercepte beaucoup de choses, mais le facteur humain reste le maillon faible.

TRON Group : la sécurité de la messagerie au cœur de votre infogérance

Chez TRON Group, la sécurité de la messagerie n'est pas un projet isolé, mais une composante à part entière de votre infogérance. Notre approche comprend :

• Un audit complet de la sécurité actuelle de votre messagerie et de votre configuration DNS
• La mise en œuvre de SPF, DKIM et DMARC selon une feuille de route éprouvée
• Une surveillance continue des rapports DMARC et des ajustements proactifs
• L'intégration avec Microsoft 365 Defender et une protection avancée contre les menaces

Nous vous accompagnons de p=none à p=reject sans que vous perdiez d'e-mails légitimes.

Où en est la sécurité de votre messagerie ?

Faites le TRON Quick Scan gratuit pour faire analyser votre configuration SPF, DKIM et DMARC actuelle.

Appelez-nous au +31 85 303 5869 pour un échange sans engagement ou prenez rendez-vous via notre page de contact. Découvrez aussi notre équipe et notre approche pour comprendre pourquoi plus de 200 entreprises confient leur sécurité informatique à TRON Group.