Authentification par courriel pour les développeurs
L'authentification des courriels consiste à vérifier l'identité de l'expéditeur d'un courriel et à s'assurer que le courriel n'a pas été altéré lors de sa transmission. En tant que développeur, il est essentiel de comprendre les différentes méthodes d'authentification des courriels et de les mettre en œuvre correctement afin de prévenir la fraude par courriel et d'améliorer la délivrabilité des courriels. Dans ce blog, nous allons explorer les différentes méthodes d'authentification par email et comment les mettre en œuvre en tant que développeur.
Pourquoi l'authentification des courriels est-elle importante ?
L'authentification des courriels pour les développeurs est un processus qui garantit que les courriels envoyés à partir de votre domaine sont légitimes. Voici les 5 principales raisons d'investir dans ces protocoles.
1. Taux de rebond réduit
L'authentification des courriels permet d'améliorer le taux de distribution des courriels en vérifiant les adresses électroniques dans la base de données et en effectuant des tests en temps réel pour savoir si les comptes sont actifs ou inactifs. Elle diminue la probabilité que vos courriels arrivent dans les boîtes de réception des destinataires souhaités.
2. Des idées précises
Au fur et à mesure que votre liste de diffusion est nettoyée à l'aide des outils, vous obtenez une analyse fiable et exploitable de vos campagnes de marketing.
3. Économies d'argent
Vous devez dépenser de l'argent pour stocker des courriels et gérer une base de données pour envoyer des messages. Au fur et à mesure que les développeurs mettent en œuvre les protocoles dans leurs applications, la liste des courriels est vidée et la taille de votre base de données diminue, ce qui vous permet d'économiser de l'argent.
4. un retour sur investissement élevé
Une compréhension détaillée de l'authentification des e-mails pour les développeurs permet de réduire le taux de rebond, ce qui se traduit par un meilleur retour sur investissement. Les e-mails qui rebondissent sont synonymes de gaspillage des sommes investies dans le marketing par e-mail.
5. Réduction des plaintes pour spam de la part des clients et des prospects
En 2022, pas moins de 49% des courriels ont été marqués comme étant du spam au niveau mondial. Dans l'idéal, le nombre de plaintes pour spam doit être inférieur à cinq pour 5 000 messages électroniques envoyés à partir d'un compte. Le processus de vérification des courriels signale les messages non sollicités et vous en informe afin que vous puissiez prendre des mesures opportunes pour lutter contre ce phénomène.
Qu'est-ce que le SPF ?
L'authentification du courrier électronique pour les développeurs commence par la compréhension et la mise en œuvre de la norme SPF ou Sender Policy Framework. Ce protocole fonctionne en vous demandant de créer et de mettre à jour une liste de serveurs autorisés à envoyer des courriels en utilisant votre nom de domaine. La liste est ajoutée au serveur DNS à partir duquel les serveurs des destinataires vérifient si le serveur de l'expéditeur fait partie de la liste ou non. Tous les courriels envoyés à partir d'adresses IP ne figurant pas sur la liste échouent à l'authentification SPF.
Tout cela nécessite un enregistrement SPF, qui est un enregistrement TXT permettant aux administrateurs d'entrer des textes arbitraires dans le DNS.
Que sont les étiquettes d'enregistrement SPF ?
| Étiquette | Objectif |
| Version (v) | Elle représente les versions SPF et doit être la première balise dans un enregistrement SPF. |
| mx | L'enregistrement mx indique quel serveur est responsable de l'acceptation des courriels au nom du domaine. Il comporte une adresse IP et une valeur de priorité pour chaque serveur pour l'acceptation des messages. |
| a | Il est utilisé lorsque vous recherchez un enregistrement A ou AAAA dans un domaine ayant l'adresse IP de l'expéditeur. |
| ptr | La balise Ptr utilise le nom d'hôte inverse ou le sous-domaine de l'adresse IP d'envoi pour spécifier le nom de domaine cible. Elle n'est utilisée que s'il y a un enregistrement MX. L'utilisation de cette balise n'est PAS recommandée par la RFC 7208. |
| ip4 | Il indique une adresse IPv4 ou une plage IP CIDR qui est autorisée à envoyer du courrier à partir de votre domaine. |
| ip6 | Il indique une adresse IPv6 ou une plage IP CIDR autorisée à envoyer des courriels depuis votre domaine. |
| inclure | En utilisant cette balise, les développeurs d'applications peuvent inclure l'enregistrement SPF complet d'un autre domaine ou sous-domaine. Vous devez l'utiliser lorsqu'un service tiers envoie des courriels en votre nom. |
| existe | Cette balise effectue une recherche d'enregistrement A pour vérifier s'il existe. Vous voyez les résultats 'pass' s'il y en a un. |
| tous | Cette balise est ajoutée à la fin d'un enregistrement TXT SPF. Elle spécifie des instructions sur la manière dont vos courriers électroniques doivent être traités si votre enregistrement SPF ne correspond pas. Il existe trois options courantes qui permettent à l'expéditeur d'indiquer à l'utilisateur de rejeter le courrier qui correspond à l'enregistrement (-all), de traiter le courrier comme suspect (~all) et de faire une recommandation neutre (?all) qui laisse au destinataire le soin de décider. |
Limites et défis de la FPS
Le SPF n'est pas suffisant pour lutter contre tous les types d'hameçonnage et de spamming. phishing et de spamming tentées au nom de votre entreprise. Par conséquent, lorsque vous vous renseignez sur l'authentification des courriels pour les développeurs, vous devez vous efforcer de comprendre les limites de la technologie Limites du SPF.
Il existe une limite de 10 consultations qui est mise en œuvre pour éviter de surcharger les ressources de validation d'un serveur DNS, telles que la bande passante et l'unité centrale. Une fois la limite atteinte, votre serveur de messagerie ne poursuivra pas le traitement et vous rencontrerez une erreur SPF. Le dépassement de cette limite entraîne des problèmes de délivrabilité en diminuant la probabilité que les courriels arrivent dans les boîtes de réception des destinataires souhaités. Vous pouvez respecter cette limite en procédant comme suit :
- Suppression des services inutilisés
- Suppression des valeurs SPF par défaut
- Éviter l'utilisation du mécanisme ptr
- Éviter l'utilisation du mécanisme mx
- Utiliser IPv6 ou IPv4
- Ne pas aplatir votre enregistrement SPF
Une autre limite est que les enregistrements SPF sont appliqués à des domaines de retour spécifiques et non à l'adresse "From". Les acteurs de la menace profitent de cette vulnérabilité en matière de cybersécurité pour exécuter des attaques par hameçonnage en falsifiant l'adresse "From".
Qu'est-ce que DKIM ?
DKIM est l'acronyme de DomainKeys Identified Mail, un protocole qui authentifie les courriers électroniques à l'aide de la méthode de cryptage. Un administrateur de domaine ajoute un enregistrement DKIM au DNS et reçoit une paire de clés publiques et privées. Le serveur de courrier électronique d'origine possède des clés DKIM privées secrètes, qui sont vérifiées par le serveur de courrier électronique de réception avec l'autre moitié de la paire de clés appelée clé DKIM publique. Ces signatures DKIM se déplacent avec les courriers électroniques et fonctionnent également sur les chaînes de courrier électronique transférées.
Lorsque l'alignement DKIM échoue, le taux de délivrabilité des courriels de votre domaine est affecté négativement, ce qui fait que les courriels atterrissent dans le dossier spam ou sont rejetés par la boîte aux lettres du destinataire.
Que sont les balises DKIM ?
Le groupe de balises DKIM comprend de nombreux éléments informels. Ils sont classés en balises obligatoires et en balises facultatives. Nous discutons ici de l'utilisation des balises obligatoires ; cliquez ici pour en savoir plus sur les autres balises.
Étiquettes obligatoires
Ces balises sont nécessaires pour la vérification, car les boîtes aux lettres des destinataires rejettent les courriels qui en sont dépourvus.
- v= La balise de version qui représente la norme DKIM utilisée. Sa valeur est toujours fixée à 1.
- a= Cette balise DKIM représente l'algorithme cryptographique utilisé pour créer la signature. En général, sa valeur est rsa-sha256. Si votre ordinateur a des capacités processeur réduites, vous pouvez utiliser rsa-sha1. Les experts n'encouragent pas son utilisation en raison de failles de sécurité.
- s= Cette balise spécifie le nom de l'enregistrement sélecteur utilisé pour trouver la clé publique dans le DNS d'un domaine. Les administrateurs de domaine ou les développeurs d'applications doivent saisir un nom ou un nombre dans ce champ.
- d= Vous pouvez voir le domaine utilisé avec l'enregistrement du sélecteur pour localiser les clés publiques. Il utilise la même valeur que le nom de domaine utilisé par l'expéditeur.
- b= Cette balise DKIM est utilisée pour les données de hachage de l'en-tête. Elle est généralement associée à la balise h= pour la rédaction de la signature DKIM. Elle est toujours encodée en Base64.
- bh= Cette balise DKIM obligatoire présente le hachage calculé des courriels dont la valeur est une chaîne de caractères indiquant un hachage déterminé par un algorithme.
- h= Cette balise énumère les en-têtes vus dans l'algorithme de signature pour générer le hachage dans la balise b=. Sa valeur ne peut être ni supprimée ni modifiée.
Limites et défis de DKIM
Les courriels légitimes envoyés depuis votre domaine peuvent parfois être rejetés par les appareils mobiles si le message est transféré. Le serveur du destinataire les identifie comme des messages falsifiés lorsqu'il lit les instructions d'authentification.
Qu'est-ce que le DMARC ?
La dernière étape de la compréhension de l'authentification du courrier électronique pour les développeurs consiste à se familiariser avec le protocole DMARC ou Domain-based Message Authentication, Reporting, and Conformance. Ce système fonctionne en parallèle avec les résultats SPF et/ou DKIM pour décider comment traiter les courriels qui échouent aux contrôles d'authentification du courrier électronique. Vous pouvez choisir de définir votre politique DMARC sur p=none (aucune action n'est entreprise à l'encontre des courriels échoués), p=quarantine (les courriels échoués sont marqués comme spam), ou p=reject (l'entrée des courriels échoués est rejetée).
Vous pouvez commencer par régler votre politique sur "aucun" afin de vérifier si tous les courriels légitimes passent les contrôles de vérification. Plus tard, vous pourrez la réinitialiser en "quarantaine" ou en "rejet".
Que sont les balises DMARC ?
En tant que propriétaire de domaine, vous pouvez spécifier les éléments suivants balises DMARC dans votre enregistrement DMARC
- v: Il indique la version du protocole DMARC et a toujours la valeur v=DMARC1.
- pct: Cette balise indique le pourcentage de courriels conformes au mode de politique.
- p: La balise p indique le mode de politique DMARC. Vous pouvez choisir entre le rejet, la quarantaine et aucun.
- rua: Cette balise facultative indique l'adresse électronique ou le serveur web où les organisations déclarantes peuvent envoyer leurs données DMARC agrégées.
- ruf: Il indique l'adresse à laquelle le rapport DMARC forensic ruf doit être envoyé.
- fo: il s'agit d'une balise optionnelle qui correspond aux options disponibles pour les rapports de défaillance/forensique que les propriétaires de domaines peuvent choisir.
- aspf: Permet de définir le mode d'alignement SPF. La valeur peut être stricte (s) ou détendue (r).
- adkim: Permet de définir le mode d'alignement DKIM, dont la valeur peut être soit strict(s), soit relaxed(r).
- rf: Cette balise spécifie les différents formats de rapports médico-légaux.
- ri: Cette balise DMARC facultative a une valeur par défaut de 86400, et indique l'intervalle de temps en secondes entre deux rapports agrégés consécutifs envoyés par l'organisation déclarante au propriétaire du domaine.
Le mot de la fin
L'authentification des courriels pour les développeurs est essentielle pour rester au courant des attaques de phishing et de spam tentées en votre nom. Commencez par générer des enregistrements SPF, DKIM et DMARC pour votre domaine officiel d'envoi d'e-mails à l'aide de notre PowerToolbox.
- Google inclut l'ARC dans ses recommandations pour les expéditeurs d'e-mails en 2024 - 8 décembre 2023
- Sécurité Web 101 - Meilleures pratiques et solutions - 29 novembre 2023
- Qu’est-ce que le cryptage des e-mails et quels sont ses différents types ? - 29 novembre 2023
