DMARC, SPF, DKIM : les différences, expliquées simplement

Trois sigles, trois enregistrements DNS, et une confusion tenace. Ils ne sont pas interchangeables et ne se remplacent pas : chacun répond à une question que les deux autres ne posent pas.

SPF : quels serveurs ont le droit d’envoyer

SPF est une liste d’adresses autorisées, publiée dans votre DNS. Le serveur destinataire regarde d’où vient la connexion et vérifie que cette adresse figure dans votre liste.

Sa limite est double. D’abord, il valide le domaine de l’enveloppe (le Return-Path), pas celui que voit le destinataire. Ensuite, il casse au transfert : quand un message est réexpédié, l’adresse du serveur change et SPF échoue, alors que le message est parfaitement légitime.

Un seul enregistrement SPF par domaine, toujours. Deux enregistrements les invalident tous les deux.

DKIM : une signature qui voyage avec le message

Le serveur qui envoie signe le message avec une clé privée ; la clé publique correspondante est publiée dans votre DNS, sous un sélecteur. Le destinataire vérifie la signature.

Avantage décisif sur SPF : la signature est dans le message. Elle survit aux transferts, aux listes de diffusion, aux relais. C’est pour cette raison qu’on ne se contente jamais de SPF.

DMARC : relier tout ça au domaine visible

SPF et DKIM authentifient des domaines techniques que l’utilisateur ne voit jamais. Rien n’empêche un fraudeur de faire passer SPF sur son domaine tout en affichant le vôtre dans le From:.

DMARC ferme cette porte avec trois apports :

• L’alignement : le domaine validé par SPF ou signé par DKIM doit correspondre à celui affiché dans le From:. Un seul des deux suffit.
• Une politique : vous dites aux destinataires quoi faire quand ça échoue — ne rien changer, mettre en quarantaine, ou rejeter.
• Des rapports : vous recevez chaque jour un compte rendu de ce qui a été vu en votre nom. Voici comment les lire.

En une phrase chacun

• SPF — « ces serveurs peuvent envoyer pour moi ».
• DKIM — « ce message porte ma signature, vérifiable ».
• DMARC — « si ni l’un ni l’autre ne correspond au nom affiché, voici quoi en faire, et racontez-le moi ».

Dans quel ordre les poser

SPF et DKIM d’abord, DMARC ensuite, et en observation. Publier une politique stricte avant que l’authentification ne fonctionne revient à demander qu’on rejette son propre courrier. Les guides par fournisseur donnent les valeurs exactes selon qui envoie pour vous.