Lors d'audits de sécurité, de migrations vers Microsoft 365 ou de revues de plateformes de messagerie, nous faisons régulièrement le même constat : l'authentification des e-mails est souvent considérée comme acquise jusqu'au jour où un incident survient.
Les premiers signaux d'alerte
Parfois, l'alerte arrive sous la forme d'un ticket signalant qu'une application métier ne parvient plus à délivrer ses notifications à certains destinataires. Dans d'autres cas, les équipes de sécurité sont informées que des e-mails frauduleux utilisant le domaine de l'entreprise circulent auprès de clients ou de partenaires. Plus récemment, nous avons également observé des situations où les rapports DMARC mettaient en évidence des sources d'envoi inconnues ou des échecs d'authentification récurrents qui n'avaient jamais été identifiés auparavant.
Dans la plupart des cas, les infrastructures concernées ne présentent pourtant aucun dysfonctionnement apparent. Les utilisateurs continuent d'envoyer et de recevoir des e-mails, les applications métier fonctionnent normalement et les plateformes de messagerie ne signalent aucun incident majeur.
Quand les faiblesses apparaissent
Cependant, une analyse plus approfondie révèle souvent des faiblesses dans les mécanismes d'authentification des e-mails, notamment SPF (Sender Policy Framework) et DKIM (DomainKeys Identified Mail).
Ces protocoles jouent un rôle essentiel dans la capacité des serveurs de messagerie à vérifier l'identité réelle de l'expéditeur, à valider l'intégrité des messages et à distinguer les communications légitimes des tentatives d'usurpation ou de spam. Lorsqu'ils sont absents, mal configurés ou ne reflètent plus l'architecture réelle des flux de messagerie, les conséquences peuvent rapidement dépasser le simple cadre technique.
Pourquoi SPF et DKIM ne suffisent pas
Prenons deux situations fréquemment rencontrées par les équipes IT.
- Premier scénario: une équipe sécurité enquête sur des campagnes d'usurpation d'identité exploitant le domaine de l'organisation. Les analyses montrent que certains sous-domaines ne disposent d'aucune politique DMARC effective ou que plusieurs services tiers sont autorisés à envoyer des e-mails sans mécanisme de contrôle adapté.
- Deuxième scénario: les administrateurs de la plateforme de messagerie cherchent à comprendre pourquoi certaines notifications générées par une solution SaaS ou par un outil interne échouent systématiquement aux contrôles SPF ou DKIM chez certains fournisseurs de messagerie.
Ces situations ont un point commun : elles révèlent une faiblesse dans la gestion du service de messagerie.
Une authentification des e-mails insuffisante ne se limite pas à quelques enregistrements DNS mal configurés. Elle influence directement la délivrabilité, la réputation du domaine, la visibilité sur les flux de messagerie et la capacité de l'organisation à se protéger contre les attaques par usurpation d'identité.
Des exigences de plus en plus strictes
Le paysage actuel de la messagerie électronique a considérablement évolué. Depuis février 2024, des fournisseurs tels que Gmail, Yahoo et Microsoft ont renforcé leurs exigences en matière d'authentification des e-mails, notamment pour les expéditeurs à volume important. Ces exigences ne sont plus de simples recommandations, elles sont devenues un composant essentiel de la sécurité opérationnelle et de la délivrabilité des messages.
Cette évolution s'explique par une augmentation constante des abus liés à la messagerie. Les mécanismes SPF, DKIM et DMARC sont aujourd'hui utilisés non seulement pour identifier les expéditeurs légitimes, mais également pour alimenter les moteurs de réputation, les systèmes anti-spam et les contrôles de confiance mis en œuvre par les principaux fournisseurs de messagerie.
Des sources de fragilité multiples
Au-delà des échecs de délivrabilité visibles, plusieurs facteurs peuvent fragiliser l'authentification des e-mails, même dans des environnements apparemment bien configurés.
-
Vulnérabilités des sous-domaines: dans de nombreuses organisations, les efforts de sécurisation se concentrent sur le domaine principal. Pourtant, les sous-domaines dédiés à des projets spécifiques, à des applications métier ou à des services historiques sont souvent moins surveillés. Ces écarts créent des opportunités que les attaquants peuvent exploiter pour mener des campagnes d'usurpation ou contourner certaines protections.
-
Mauvaise intégration des services tiers : les infrastructures de messagerie modernes reposent rarement sur une seule plateforme d'envoi. Applications SaaS, outils ITSM, solutions RH, CRM, plateformes de ticketing ou systèmes de supervision peuvent tous envoyer des e-mails au nom de l'organisation. Lorsqu'ils ne sont pas correctement intégrés aux mécanismes SPF, DKIM ou DMARC, des échecs d'authentification apparaissent rapidement.
-
Dégradation progressive de la configuration DNS : nous constatons fréquemment des environnements où les enregistrements DNS se sont accumulés au fil des migrations, des changements de fournisseurs ou des évolutions de l'infrastructure. Des mécanismes SPF obsolètes, des sélecteurs DKIM inutilisés ou des politiques DMARC héritées d'anciens projets compliquent la compréhension de la configuration réelle.
-
Échecs liés au transfert d'e-mails : certains systèmes intermédiaires modifient les en-têtes ou certaines parties du message lors de son transfert. Selon la configuration utilisée, ces modifications peuvent invalider une signature DKIM et provoquer des échecs d'authentification malgré un envoi initial parfaitement légitime.
-
Comportements variables selon les environnements de messagerie : tous les fournisseurs n'appliquent pas les contrôles d'authentification de manière identique. Un message accepté par Microsoft 365 peut être traité différemment par Gmail ou Yahoo en fonction des mécanismes de réputation, de l'alignement DMARC ou du contexte d'envoi observé.
-
Effet cumulatif sur la réputation du domaine : les échecs d'authentification ne sont pas des événements isolés. Ils participent à la construction de la réputation du domaine et peuvent, à long terme, affecter la capacité de l'organisation à faire parvenir ses communications légitimes à destination.
Au-delà de la configuration initiale
L'authentification des e-mails est souvent perçue comme un sujet purement opérationnel, limité à quelques enregistrements DNS ou à une configuration réalisée lors d'une migration de plateforme de messagerie. Pourtant, notre expérience montre que la réalité est beaucoup plus complexe.
Au fil du temps, les infrastructures évoluent, de nouveaux services apparaissent, des applications sont intégrées et les flux de messagerie se multiplient. Sans gouvernance claire et sans revue régulière, il devient difficile de garantir que l'ensemble des sources d'envoi sont correctement authentifiées et alignées avec les politiques de sécurité de l'organisation.
Les mécanismes SPF, DKIM et DMARC ne constituent pas uniquement des exigences imposées par les fournisseurs de messagerie. Ils représentent aujourd'hui des contrôles fondamentaux permettant d'établir la confiance autour de l'identité numérique d'un domaine. Ils contribuent à protéger les utilisateurs contre les tentatives d'usurpation, à améliorer la visibilité sur les flux de messagerie et à limiter les risques liés à l'utilisation de services tiers insuffisamment maîtrisés.
Les implications concrètes
Lors de nos interventions, nous constatons fréquemment que les problèmes ne proviennent pas d'une absence totale d'authentification, mais plutôt d'une connaissance incomplète des sources d'envoi, d'une accumulation de configurations historiques ou d'un manque de suivi des évolutions de l'infrastructure. Ces écarts restent souvent invisibles jusqu'à l'apparition d'un incident, d'un problème de délivrabilité ou d'une campagne d'usurpation ciblant le domaine de l'organisation.
L'objectif n'est donc pas simplement de déployer SPF, DKIM ou DMARC, mais de s'assurer que ces protocoles reflètent fidèlement la réalité des flux de messagerie et qu'ils évoluent au même rythme que l'infrastructure qu'ils protègent.
Finalement, la question n'est peut-être pas de savoir si votre domaine dispose d'un enregistrement SPF, d'une signature DKIM ou d'une politique DMARC.
La vraie question est plutôt de savoir si vous êtes aujourd'hui capable d'identifier avec certitude qui est autorisé à envoyer des e-mails au nom de votre organisation, comment ces messages sont authentifiés et si cette configuration correspond encore à la réalité de votre environnement.
C'est généralement le point de départ d'une véritable démarche de maîtrise et de sécurisation de la messagerie.