Glossaire de la sécurité e-mail

Les 26 termes que vous croiserez dans un résultat Domain Check ou dans nos guides, expliqués simplement.

A

Alignement: Condition de DMARC : le domaine validé par SPF (adresse technique d'expédition) ou par DKIM (domaine signataire d=) doit correspondre au domaine affiché dans le champ « De ». En mode souple (r), un sous-domaine suffit ; en mode strict (s), les domaines doivent être identiques.

Clé publique DKIM: Moitié publique de la paire de clés DKIM, publiée dans le DNS (balise p= de l'enregistrement TXT). Les destinataires s'en servent pour vérifier la signature produite avec la clé privée, que seul votre service d'envoi détient. Une clé RSA de 2048 bits est aujourd'hui la norme.

Délivrabilité: Capacité de vos e-mails à arriver dans la boîte de réception, plutôt que d'aboutir en courrier indésirable ou d'être refusés. Elle dépend notamment de SPF, de DKIM, de DMARC et de la réputation de vos adresses IP d'envoi.
DKIM: DomainKeys Identified Mail (RFC 6376) : signature cryptographique ajoutée à chaque e-mail sortant. Elle prouve que l'e-mail a été envoyé par un serveur autorisé par le domaine et qu'il n'a pas été modifié en route. Voir le guide DKIM.
DMARC: Domain-based Message Authentication, Reporting and Conformance (RFC 7489) : enregistrement DNS qui exige que l'adresse affichée soit validée par SPF ou par DKIM, indique aux destinataires quoi faire des e-mails en échec et demande des rapports. Voir le guide DMARC.
DNS: Domain Name System : l'annuaire d'Internet. Il associe un nom de domaine à des informations publiques, comme l'adresse de son site, ses serveurs de messagerie (MX) ou ses enregistrements SPF, DKIM et DMARC.
DNS-over-HTTPS (DoH): Interrogation du DNS par une connexion HTTPS chiffrée. C'est ce qui permet à Domain Check d'interroger le DNS directement depuis votre navigateur, via les résolveurs publics de Cloudflare et de Google.
Domaine organisationnel: Domaine enregistré auprès d'un registre, juste sous l'extension : exemple.nc pour mail.exemple.nc. DMARC s'en sert pour l'alignement souple et pour appliquer sa politique aux sous-domaines qui n'en publient pas.

Enregistrement TXT: Enregistrement DNS qui contient du texte libre. SPF, DKIM et DMARC sont publiés sous cette forme. Une valeur de plus de 255 caractères est découpée en plusieurs chaînes, que les serveurs recollent.

Hameçonnage (phishing): E-mail frauduleux qui imite un expéditeur de confiance (banque, fournisseur, dirigeant) pour obtenir un mot de passe, un paiement ou l'ouverture d'une pièce jointe piégée. Un DMARC en p=reject empêche d'utiliser votre propre domaine pour ces attaques.

include: Mécanisme SPF qui autorise les serveurs listés par le SPF d'un autre domaine, par exemple include:spf.protection.outlook.com pour Microsoft 365. Chaque include coûte au moins une requête DNS.

Limite des 10 requêtes DNS: Règle de la norme SPF (RFC 7208) : l'évaluation d'un SPF ne doit pas déclencher plus de 10 requêtes DNS (include, a, mx, ptr, exists et redirect, y compris dans les enregistrements inclus). Au-delà, le SPF est invalide.
Liste noire (DNSBL): Liste publique d'adresses IP connues pour envoyer du spam, interrogeable par le DNS. Une adresse listée voit ses e-mails refusés ou classés en indésirables chez de nombreux destinataires.

Mécanisme SPF: Terme d'un enregistrement SPF qui désigne des serveurs autorisés : ip4, ip6, a, mx, include, exists, ptr, et all, qui s'applique à tous les autres. Chacun peut être précédé d'un qualificatif.
MX: Mail Exchanger : enregistrement DNS qui désigne les serveurs qui reçoivent les e-mails d'un domaine, chacun avec une priorité. La plus petite valeur est essayée en premier.

Null MX: Enregistrement MX unique, de priorité 0 vers la cible « . » (RFC 7505), qui déclare qu'un domaine ne reçoit aucun e-mail. Les expéditeurs renoncent alors immédiatement au lieu de réessayer.

Passerelle de filtrage: Service placé devant la messagerie (Mailinblack, Vade, Mimecast, Proofpoint…) qui reçoit les e-mails, les filtre puis les transmet. Le MX du domaine pointe alors vers la passerelle et non vers la messagerie.
pct: Balise DMARC qui fixe le pourcentage des e-mails en échec soumis à la politique (100 par défaut). Elle sert pendant la montée progressive, mais doit revenir à 100.
Politique DMARC: Consigne de la balise p= pour les e-mails qui échouent à DMARC : none (surveiller seulement), quarantine (placer en courrier indésirable) ou reject (refuser). La balise sp= fixe celle des sous-domaines.

Qualificatif all: Terminaison d'un SPF, qui dit quoi faire des serveurs non listés : -all (refuser), ~all (marquer comme suspect), ?all (neutre) ou +all (tout accepter, à proscrire).

rua: Balise DMARC qui donne l'adresse (mailto:) où envoyer les rapports agrégés quotidiens : volumes, adresses IP d'envoi et résultats SPF, DKIM et DMARC.
ruf: Balise DMARC qui donne l'adresse des rapports d'échec détaillés, envoyés e-mail par e-mail. Peu de messageries en envoient, pour des raisons de confidentialité.

Sélecteur DKIM: Nom d'une clé DKIM, choisi par le service d'envoi. La clé est publiée sur <sélecteur>._domainkey.<domaine>, et le sélecteur figure dans la valeur s= de l'en-tête DKIM-Signature.
SPF: Sender Policy Framework (RFC 7208) : enregistrement TXT qui liste les serveurs autorisés à envoyer des e-mails pour un domaine. Voir le guide SPF.

TTL: Time To Live : durée, en secondes, pendant laquelle les résolveurs peuvent garder une réponse DNS en cache. Elle fixe le délai avant qu'une modification soit visible partout.

Usurpation d'identité (spoofing): Envoi d'un e-mail qui se présente comme venant de votre domaine sans votre autorisation. SPF, DKIM et surtout DMARC en p=reject permettent aux destinataires de le détecter et de le refuser.