Comprendre les limites du SPF dans l'authentification des e-mails

Blog

La limite SPF du nombre maximal de consultations du système de noms de domaine et le désalignement de l'adresse de départ et du domaine peuvent entraîner des erreurs de mise en œuvre.

par Ahona Rudra

Temps de lecture : 6 min
Comprendre les limites du SPF dans l'authentification des e-mails
Table des matières-

Sender Policy Framework ou SPF ne suffit pas à sécuriser les courriels d'entreprise contre l'hameçonnage et le spamming. l'hameçonnage et le spamming et du spamming. La limite de SPF sur le nombre maximum de consultations DNS et le désalignement de l'adresse From et du domaine provoquent des erreurs d'implémentation qui entraînent des problèmes de délivrabilité des courriels. Ce blog traite de ces problèmes et de la manière dont DMARC permet de surmonter les limites de SPF.

Points clés à retenir

  1. SPF a une limite de 10 recherches, qui peut conduire à des échecs de validation des courriels si elle est dépassée, ce qui entraîne des problèmes de livraison.
  2. Le domaine Return-Path est celui que SPF vérifie, ce qui peut permettre des attaques de phishing par le biais d'adresses From usurpées.
  3. L'utilisation de mécanismes inutiles dans les enregistrements SPF peut compliquer la gestion et entraîner un dépassement des limites de consultation.
  4. DMARC renforce la sécurité du courrier électronique en imposant l'alignement entre l'adresse "From" et le domaine authentifié utilisé dans les vérifications SPF.
  5. L'aplatissement des enregistrements SPF peut réduire le nombre de recherches en remplaçant les domaines imbriqués par des adresses IP, ce qui facilite la vérification des courriels.

Quelles sont les limites de l'enregistrement SPF ?

Il existe deux limites majeures au SPF qui le rendent un peu délicat à mettre en œuvre et à maintenir. 

1. La limite SPF 10-Lookup

Lorsqu'un utilisateur interroge le serveur DNS, les ressources de son validateur, comme la bande passante, le temps, le processeur et la mémoire, sont utilisées. Pour éviter toute charge sur le validateur, il existe une limite SPF de 10 consultations supplémentaires. Cependant, la requête DNS pour l'enregistrement de politique SPF lui-même ne compte pas dans cette limite.

Conformément à la section 4.6.4 du RFC7208 section 4.6.4le serveur de messagerie du destinataire ne doit pas poursuivre le traitement lorsque la limite de 10 recherches est atteinte. Dans ce cas, le courrier électronique rejette la validation SPF avec une erreur Permerror. L'erreur SPF Permerror est l'un des messages qui apparaissent fréquemment dans le processus de mise en œuvre de SPF. Il entraîne la non-délivrance de l'e-mail et se produit si plusieurs enregistrements SPF existent sur un domaine, si une erreur de syntaxe apparaît ou si les limites d'enregistrement SPF sont dépassées.

Vous pouvez utiliser le Vérificateur d'enregistrement SPF pour éliminer cette erreur et garantir la sécurité des conversations par courrier électronique.

De plus, selon le RFC, une requête DNS d'un nom d'hôte trouvé dans un enregistrement enregistrement MX ne devrait pas générer plus de 10 enregistrements A ou AAAA. Si une requête DNS PTR génère plus de 10 résultats, seuls les 10 premiers résultats sont affichés et utilisés.

 

Simplifiez la sécurité avec PowerDMARC !

15 jours d'essaiRéservez une démo

2. L'adresse de départ lisible par l'homme

La deuxième limitation du SPF est que les enregistrements SPF s'appliquent à des domaines spécifiques du chemin de retour et non à l'adresse de départ. Les destinataires ne prêtent généralement pas beaucoup d'attention à l'adresse de retour et se concentrent uniquement sur l'adresse d'origine lorsqu'ils ouvrent un courrier électronique. Les pirates profitent de cette faille pour tenter des attaques de phishing en falsifiant l'adresse d'origine.

L'impact de la taille de l'enregistrement SPF sur la livraison des e-mails

Lorsqu'un destinataire dépasse la limite d'enregistrements SPF, il échoue aux contrôles SPF et une erreur de type Permerror se produit. Vous pouvez observer cette erreur lors de l'utilisation de la surveillance DMARC. Le destinataire peut choisir la manière de traiter les courriels ayant un échec Permerror. Il peut choisir de rejeter l'entrée, ce qui signifie que l'e-mail sera renvoyé. Certains destinataires configurent le système pour qu'il affiche un résultat SPF "neutre" (comme si aucun SPF n'était utilisé). Ils peuvent également choisir "fail" ou "softfail", ce qui signifie que les courriels qui échouent aux contrôles d'authentification SPF ne sont pas rejetés mais atterrissent dans le dossier spam. 

Ces résultats sont également déterminés en tenant compte des résultats de DMARC, DKIM et de l'évaluation du spam. Le dépassement de la limite SPF a un impact sur la délivrabilité des e-mails en réduisant la probabilité que les e-mails atterrissent dans la boîte de réception principale des destinataires.

Le validateur évalue la politique SPF de gauche à droite et lorsqu'une correspondance sur l'adresse IP de l'expéditeur est trouvée, le processus s'arrête. Désormais, selon l'expéditeur, un validateur peut ne pas toujours atteindre la limite de consultation, même si la politique SPF exige plus de 10 consultations pour une évaluation complète. Cela crée des difficultés pour identifier les problèmes de délivrabilité des e-mails liés à la limite des enregistrements SPF. 

Comment réduire le nombre de recherches nécessaires ?

Il est difficile pour certains propriétaires de domaines de rester dans la limite de 10 recherches SPF, car les habitudes d'échange de courriels ont considérablement changé depuis 2006 (date à laquelle la RFC4408 a été mise en œuvre). Aujourd'hui, les entreprises utilisent plusieurs programmes et services basés sur l'informatique en nuage avec un seul domaine. Voici donc quelques moyens de surmonter cette limite SPF courante.

  • Supprimer les services non utilisés

Évaluez votre dossier SF et regardez s'il y a des services inutilisés ou non requis. Vérifiez si l'option 'inclure' ou d'autres mécanismes qui indiquent les domaines des services qui ne sont plus utilisés.

  • Supprimer les valeurs SPF par défaut

La politique SPF par défaut est généralement fixée à 'v=spf1 a mx. Étant donné que la plupart des enregistrements A et AAAA sont utilisés pour des serveurs web qui n'envoient pas nécessairement de courriers électroniques, la valeur 'aet 'mx ne sont pas nécessaires.

  • Évitez d'utiliser la fonction ptr Mécanisme

Le site ptr est fortement déconseillé en raison de sa faible sécurité et de son manque de fiabilité. Ce mécanisme provoque le problème de la limite SPF en exigeant plus de recherches. Il doit donc être évité autant que possible.

  • Évitez d'utiliser le mx Mécanisme

Le site mx est utilisé pour recevoir des courriels, et pas nécessairement pour les envoyer. C'est pourquoi vous pouvez éviter de l'utiliser pour rester dans la limite d'enregistrement SPF fixée pour les recherches. Si vous utilisez un service de messagerie basé sur le cloud, utilisez le mécanisme 'inclure à la place.

  • Utiliser IPv6 ou IPv4 

L'IPv4 et l'IPv6 ne nécessitent pas de vérifications supplémentaires, ce qui signifie qu'ils vous aident à ne pas dépasser la limite SPF de 10 vérifications maximum. Cependant, vous devez rester à jour et entretenir régulièrement les deux mécanismes car ils sont plus sujets aux erreurs lorsqu'ils ne sont pas reconditionnés.

  • N'aplatissez pas les disques SPF

Certaines ressources affirment que plus la politique SPF est aplatie (ou courte), meilleure est la réputation du domaine. Elles suggèrent cette méthode pour rester dans les limites de l'enregistrement SPF fixées pour les recherches. Cependant, l'aplatissement est déconseillé car il rend votre enregistrement plus sujet aux erreurs et nécessite des mises à jour régulières. 

Le rôle de DMARC pour surmonter les limites du SPF

DMARC répond à la limitation SPF de l'adresse de départ lisible par l'homme en exigeant une correspondance ou un alignement entre le champ de départ lisible par l'homme et le serveur authentifié par SPF.

Ainsi, si un courriel passe les contrôles SPF mais que le domaine n'est pas le même que l'adresse d'origine, DMARC annule cette authentification. Cela signifie que l'e-mail échoue au test d'authentification.

Comment l'aplatissement des enregistrements SPF aide-t-il à surmonter la limite de 10 consultations du DNS ?

Aplatissement des enregistrements SPF est une technique utilisée pour optimiser les enregistrements SPF (Sender Policy Framework) afin de surmonter la limite de 10 recherches DNS pour SPF. La limite de 10 consultations DNS est une restriction imposée par de nombreux résolveurs DNS, qui limite le nombre de requêtes DNS pouvant être effectuées lors de la vérification d'un enregistrement SPF pour un domaine.

Lorsqu'un courriel est reçu, le serveur de messagerie du destinataire interroge le DNS du domaine de l'expéditeur pour son enregistrement SPF afin de vérifier si l'expéditeur est autorisé à envoyer des courriels depuis ce domaine. Toutefois, si l'enregistrement SPF contient de nombreuses inclusions imbriquées, il peut rapidement dépasser la limite de 10 consultations du DNS, ce qui entraîne des échecs de vérification SPF et des détections de spam faussement positives.

Pour surmonter cette limitation, l'aplatissement des enregistrements SPF est utilisé. L'aplatissement des enregistrements SPF est une technique qui remplace toutes les déclarations d'inclusion imbriquées dans un enregistrement SPF par leurs adresses IP ou leurs plages CIDR correspondantes. Cela réduit le nombre de requêtes DNS nécessaires pour vérifier l'enregistrement SPF, car chaque domaine inclus n'est plus interrogé individuellement.

En aplatissant l'enregistrement SPF, le nombre de requêtes DNS nécessaires pour vérifier l'enregistrement SPF est considérablement réduit, ce qui permet aux messages électroniques de passer la vérification SPF même si l'enregistrement original a fait l'objet de plus de 10 consultations DNS. Cette technique réduit également le risque d'échecs de validation de l'enregistrement SPF dus à des délais d'interrogation du DNS ou à des problèmes temporaires de serveur DNS.

Les défis de la mise en œuvre du SPF dans les grandes entreprises

SPF a imposé la limitation à 10 recherches maximum pour prévenir les attaques DoS et DDoS. Malheureusement, ces vérifications peuvent s'accumuler très rapidement, surtout dans les grandes entreprises. Auparavant, les entreprises exploitaient leurs propres serveurs de messagerie, mais aujourd'hui, elles font appel à des expéditeurs tiers. Cela crée un problème car chacun d'entre eux peut prendre jusqu'à 3 ou 4 serveurs et vous atteignez la limite très rapidement.

Derniers messages de Ahona Rudra (voir tous)
Comment saisir les valeurs TXT dans Google Cloud DNS ?Comment saisir des valeurs TXT dans Google Cloud DNS ?Qu'est-ce que Malware as a Service MaaS ?Logiciel malveillant en tant que service (MaaS) : Qu'est-ce que c'est et comment s'en prémunir ?