Un DMARC à p=none n'authentifie rien du tout

L'affirmation

Un enregistrement DMARC publié avec une politique none ne protège personne. Il demande aux serveurs de réception de signaler les courriels falsifiés, puis de les livrer quand même. La plupart des entreprises canadiennes que nous auditons ont exactement cette configuration, publiée il y a deux ou trois ans lors d'un exercice de conformité, toujours à p=none, avec une adresse de rapport pointant vers une boîte que personne ne lit. Ce n'est pas un contrôle de sécurité. C'est une note à soi-même rappelant qu'on avait l'intention de faire quelque chose.

Ce que font réellement les trois enregistrements

Ils ne sont pas interchangeables et chacun échoue différemment.

SPF énumère les serveurs autorisés à envoyer pour votre domaine. Il casse au réacheminement, puisque le serveur relayeur ne figure pas dans votre liste, et il impose une limite ferme de dix résolutions DNS : au-delà, le résultat est permerror, que la plupart des destinataires traitent comme un échec.

exemple.ca. TXT "v=spf1 include:_spf.google.com include:mailgun.org ~all"

Comptez vos résolutions avant d'ajouter un quatrième fournisseur :

dig +short TXT exemple.ca | grep spf1

DKIM signe le message avec une clé privée et publie la moitié publique dans le DNS. Il survit au réacheminement, ce qui explique qu'il fasse le vrai travail. Utilisez une clé de 2048 bits ; 1024 reste courant et n'est plus défendable.

DMARC rattache les deux autres au domaine qu'une personne voit réellement dans le champ De, et indique aux destinataires quoi faire quand aucun ne s'aligne. Sans DMARC, un attaquant peut réussir SPF avec son propre domaine tout en falsifiant le vôtre dans le champ visible.

L'enregistrement visé

_dmarc.exemple.ca. TXT "v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:dmarc@exemple.ca; pct=100"

p=reject est la seule valeur qui arrête les courriels falsifiés. adkim=s et aspf=s exigent un alignement strict, de sorte qu'un sous-domaine ne serve pas d'échappatoire. Tout ce qui reste en deçà annonce au monde que votre domaine est disponible.

Un parcours de six semaines vers reject

Si les organisations s'immobilisent à p=none, c'est par crainte réelle de bloquer leurs propres factures. Réglez cela par un calendrier plutôt que par un report indéfini.

L'étape d'inventaire réserve les surprises. Chaque organisation découvre au moins un expéditeur oublié : un script d'avis d'expédition vieux de dix ans, une succursale qui utilise une adresse Gmail personnelle avec le domaine de l'entreprise dans le champ De, un outil de marketing configuré par quelqu'un qui est parti depuis.

Lire les rapports sans acheter d'outil

Les rapports agrégés arrivent sous forme de pièces jointes XML compressées, une par fournisseur destinataire et par jour, et leur lecture manuelle est franchement pénible. Nul besoin d'un abonnement pour commencer. Une douzaine de lignes de script extraient les données utiles — adresse IP source, volume, résultat SPF, résultat DKIM, disposition — et les chargent dans un tableur. Ce que vous cherchez la deuxième semaine, c'est un petit nombre de sources à fort volume qui échouent à l'alignement : ce sont vos expéditeurs légitimes. Les sources à fort volume provenant de plages résidentielles d'autres pays sont les falsifications, et c'est pour elles que vous faites tout cela.

Les plateformes commerciales valent leurs 30 $ à 150 $ CA par mois dès que vous gérez plus de trois ou quatre domaines, surtout parce qu'elles font l'analyse syntaxique et conservent l'historique. Pour un seul domaine, l'approche manuelle pendant six semaines suffit, et ensuite vous pouvez arrêter.

Publiez aussi un enregistrement nul pour vos domaines inutilisés

Les domaines de réserve et de protection attirent les faussaires précisément parce que personne ne les surveille. Deux enregistrements y mettent fin :

reserve.ca.        TXT "v=spf1 -all"
_dmarc.reserve.ca. TXT "v=DMARC1; p=reject;"

L'angle canadien

La LCAP encadre les messages commerciaux que vous envoyez, pas ceux que des criminels envoient en votre nom ; DMARC n'est donc pas une exigence de conformité en ce sens. Le lien pratique est ailleurs : quand un fournisseur reçoit un courriel convaincant de changement de coordonnées bancaires paraissant provenir de votre service de comptabilité, le litige qui s'ensuit vous appartient, peu importe l'origine du message. Une politique DMARC en rejet rend cette attaque précise techniquement impossible depuis votre domaine exact — une victoire étroite, mais réelle, au prix de trois enregistrements DNS et de six semaines d'attention.

Vérifiez, puis inscrivez-le à l'agenda

dig +short TXT _dmarc.exemple.ca
dig +short TXT selector1._domainkey.exemple.ca

Placez un rappel dans six mois pour relire une semaine de rapports agrégés. De nouveaux expéditeurs apparaissent dès que quelqu'un dans l'entreprise s'inscrit à un outil, et la défaillance est silencieuse : leurs courriels cessent simplement d'arriver, et ils en blâment le destinataire.