Configurer SPF, DKIM et DMARC : protection contre la fraude

Pourquoi la sécurité de la messagerie est indispensable aux PME et ETI

Les e-mails sont le nerf de la communication commerciale dans les PME et ETI allemandes, mais ils constituent aussi la principale porte d'entrée des cybercriminels. De nombreuses entreprises sous-estiment le risque dévastateur de l'usurpation d'adresse d'expéditeur (e-mail spoofing), par laquelle des fraudeurs falsifient des messages au nom de votre entreprise pour tromper des clients, des partenaires ou des collaborateurs. Les campagnes de hameçonnage deviennent toujours plus professionnelles et ne se distinguent presque plus visuellement des e-mails commerciaux authentiques. Pour les dirigeants et les responsables informatiques, une infrastructure de messagerie compromise est un risque critique pour l'activité, qui entraîne non seulement des dommages financiers, mais détruit aussi durablement la confiance patiemment bâtie dans votre marque.

Que ces dangers ne soient pas abstraits, les chiffres actuels le prouvent : le Verizon Data Breach Investigations Report 2026 attribue 62 pour cent de tous les incidents de sécurité analysés au facteur humain, 16 pour cent relèvent concrètement du hameçonnage. Cette professionnalisation des attaques montre bien pourquoi les mesures de sécurité classiques échouent souvent. Sans une vérification sans faille de l'identité de l'expéditeur, votre domaine reste une cible facile pour l'usurpation d'identité. La sécurité de la messagerie n'est donc plus une option supplémentaire, mais le fondement d'une Cybersecurity efficace dans les PME et ETI modernes.

• Usurpation d'identité (e-mail spoofing) : des criminels envoient des e-mails frauduleux en utilisant exactement votre domaine, afin de détourner des paiements ou d'extorquer des données sensibles.
• Spear phishing ciblé : des messages sur mesure simulent une communication légitime avec des partenaires commerciaux ou des autorités.
• Fraude au président (CEO fraud) : les attaquants se font passer pour la direction et demandent aux collaborateurs d'effectuer des virements urgents.
• Diffusion de maliciels : les e-mails de hameçonnage servent de vecteur pour introduire des logiciels malveillants dans le réseau de l'entreprise et chiffrer les systèmes.

Au-delà de la protection de sa propre marque, les obligations réglementaires occupent une place croissante. La directive européenne NIS2 impose aux entités qu'elle couvre des mesures de gestion des risques appropriées. Elle ne contient pas d'obligation expresse d'introduire SPF, DKIM ou DMARC, mais la sécurisation des canaux de communication relève de l'état de l'art. L'Office fédéral allemand de la sécurité des technologies de l'information (BSI) décrit l'état technique attendu dans la directive technique BSI TR-03182 pour les services de messagerie. Avec CAVRIX et nos prestations dans les domaines de la Cybersecurity et de la conformité, vous sécurisez votre infrastructure numérique. Le Command Center vous permet de garder à tout moment un oeil sur l'état de vos mesures de sécurité et de les documenter de manière démontrable.

SPF (Sender Policy Framework) : la liste d'invités numérique de votre domaine

Imaginez que des expéditeurs non autorisés envoient en votre nom des e-mails frauduleux à vos clients ou partenaires. Le Sender Policy Framework (SPF) est la première ligne de défense pour empêcher précisément cela. Techniquement, SPF est un enregistrement DNS TXT dans la zone de votre domaine. Cet enregistrement fait office de liste d'invités numérique : il définit de manière contraignante quelles adresses IP et quels serveurs sont autorisés à envoyer des e-mails au nom de votre domaine. Lors de la remise, les serveurs destinataires consultent cet enregistrement et savent immédiatement si un message provient d'une source autorisée.

Lors de la configuration, vous vous heurtez toutefois rapidement à des limites techniques. La spécification RFC 7208 autorise, lors de l'évaluation d'un enregistrement SPF, un maximum de 10 mécanismes déclenchant une requête DNS. Si cette limite est dépassée (par exemple parce que trop de services externes comme des outils marketing ou RH sont intégrés via include), l'évaluation se termine par un permerror et le contrôle SPF ne fournit aucun résultat exploitable. La BSI TR-03182 recommande donc expressément de noter les expéditeurs sous forme d'adresses IP ou de plages réseau plutôt que par des noms, afin que cette limite ne soit pas atteinte. Pour vos responsables informatiques, la gestion de ces requêtes est une tâche critique pour garantir une délivrabilité fiable. Notre service Cybersecurity aide les entreprises à surveiller et à résoudre ces limitations de manière proactive.

• Soft fail (~all) : les e-mails provenant de serveurs non autorisés sont marqués comme non autorisés, mais restent en règle générale délivrés, souvent dans le dossier des indésirables. Cela convient à la phase d'introduction et de test.
• Hard fail (-all) : le serveur destinataire peut rejeter directement les e-mails non autorisés. C'est lui qui décide de la rigueur de cette application, car SPF est une déclaration de l'expéditeur et non une contrainte imposée au destinataire.

La BSI TR-03182 accepte les deux variantes. Elle exige seulement que le mécanisme all protège effectivement, c'est-à-dire qu'il soit réglé sur SoftFail (~all) ou sur Fail (-all). Les enregistrements se terminant par Pass (+all) ou Neutral (?all) ne satisfont pas aux exigences de la directive. Le choix du mécanisme détermine avec quelle rigueur la défense contre les e-mails falsifiés opère en situation réelle. Un enregistrement SPF incomplètement entretenu conduit toutefois rapidement, en cas de hard fail, à ce que des messages légitimes de votre équipe disparaissent dans le néant numérique. Une planification soigneuse est donc indispensable avant d'activer la protection.

DKIM (DomainKeys Identified Mail) : le sceau cryptographique

Alors que SPF définit qui a le droit d'envoyer des e-mails au nom de votre domaine, DKIM (DomainKeys Identified Mail) va un pas plus loin et garantit l'intégrité de vos messages. DKIM fait office de sceau numérique et cryptographique. Grâce à une paire de clés asymétriques, ce procédé assure que le contenu d'un e-mail n'a pas été modifié à l'insu de tous sur le trajet de l'expéditeur au destinataire. Pour vous, dirigeant ou responsable informatique, cela offre une protection déterminante contre la manipulation et l'usurpation d'identité.

Techniquement, le procédé repose sur une clé privée et une clé publique. Votre serveur de messagerie sortant signe chaque message avec la clé privée dans l'en-tête de l'e-mail. Le destinataire vérifie cette signature avec la clé publique que vous avez déposée dans le Domain Name System (DNS) de votre domaine. Concernant la longueur des clés, la BSI TR-03182 (version 1.0 du 24 janvier 2024) fixe une fourchette claire : les clés RSA ne doivent pas être plus courtes que 1024 bits et, pour des raisons d'interopérabilité, pas plus longues que 2048 bits. En pratique, cela revient à viser 2048 bits. La RFC 8301 indique le même ordre de grandeur : elle exige des signataires au moins 1024 bits et recommande 2048 bits. La directive demande en complément de renouveler le matériel de clés au moins tous les trois mois.

• Signature : le serveur de messagerie expéditeur calcule une empreinte du contenu de l'e-mail et la chiffre avec votre clé privée.
• Requête DNS : le serveur destinataire lit l'en-tête DKIM et interroge la clé publique via un enregistrement TXT spécifique dans le DNS.
• Vérification : le destinataire déchiffre l'empreinte et la compare à une empreinte nouvellement calculée sur l'e-mail reçu. Si les deux valeurs concordent, le message est intègre.

Une mise en place correcte de DKIM ne protège pas seulement contre la fraude par e-mail, elle constitue aussi un élément de réponse aux exigences réglementaires. Dans le cadre de NIS2, les entreprises doivent démontrer qu'elles prennent des mesures de sécurité appropriées. CAVRIX vous accompagne dans l'implémentation de DKIM dans le cadre de nos prestations en matière de Cybersecurity et de conformité. Votre infrastructure de messagerie est ainsi protégée de manière fiable contre les attaques et reste conforme au droit.

DMARC (Domain-based Message Authentication) : l'instance de contrôle

Alors que SPF et DKIM fournissent les outils d'identification, DMARC (Domain-based Message Authentication, Reporting and Conformance) fait office d'instance de contrôle supérieure. Le protocole donne aux systèmes destinataires une consigne claire sur la manière de traiter les e-mails qui ne passent pas les contrôles SPF ou DKIM. DMARC comble ainsi la faille des vérifications d'expéditeur incomplètes et forme le coeur de standards modernes comme la directive technique BSI TR-03182. Sans politique DMARC active, votre protection reste incomplète, car les serveurs destinataires délivrent souvent malgré tout les e-mails falsifiés en dépit des contrôles échoués.

• "none" (surveillance) : dans cette phase de démarrage, tous les e-mails sont délivrés comme d'habitude. Elle sert exclusivement à recueillir des rapports détaillés sur l'ensemble de votre infrastructure de messagerie et à identifier sans erreur les sources d'envoi légitimes.
• "quarantine" (quarantaine) : les e-mails qui ne passent pas l'authentification sont directement déplacés par les serveurs destinataires dans le dossier des indésirables. Cela réduit le risque que des messages falsifiés atteignent les boîtes de réception principales de vos clients ou partenaires.
• "reject" (rejet) : le niveau le plus sûr bloque immédiatement les e-mails non autorisés à la frontière du serveur destinataire. Le message falsifié est rejeté, ce qui empêche efficacement tout abus de votre domaine dans des campagnes de hameçonnage.

Un levier décisif de DMARC est la fonction de retour d'information via des rapports de sécurité au format XML. Vous indiquez l'adresse destinée aux rapports agrégés dans la balise rua ; vous recevez habituellement ces rapports une fois par jour. Il existe par ailleurs la balise ruf pour les rapports forensiques individuels. La BSI TR-03182 exige au moins une adresse rua et déconseille expressément de demander des rapports ruf, car ceux-ci contiennent des contenus à caractère personnel. Les rapports rua vous montrent quels serveurs dans le monde envoient des e-mails au nom de votre entreprise. Cela met au jour non seulement les attaques de hameçonnage, mais aussi les services cloud mal configurés de vos propres services.

Un second levier est l'alignement. DMARC n'est considéré comme réussi que si le domaine de l'en-tête From visible correspond au domaine vérifié par SPF ou DKIM. Avec un alignement relaxed, il suffit qu'il s'agisse du même domaine organisationnel ; avec un alignement strict, le domaine doit correspondre exactement. La BSI TR-03182 recommande l'alignement strict et n'admet le mode relaxed que dans des cas exceptionnels, par exemple lorsqu'un prestataire envoie des envois en masse en votre nom. L'analyse continue de ces données XML et l'adaptation progressive de la politique exigent une expertise informatique permanente. Dans le cadre de nos offres modulaires en matière de Cybersecurity et de Managed IT, nous assurons cette surveillance technique pour vous. Nous conduisons votre infrastructure de messagerie en toute sécurité, de la phase d'observation sans risque jusqu'à l'application complète de la politique DMARC, afin que vous respectiez sans effort les exigences réglementaires telles que NIS2 ou les standards du BSI.

Nouvelles exigences : pourquoi Google et Yahoo imposent DMARC

Pour les PME et ETI allemandes, une remise fiable des e-mails est critique pour l'activité. Or, depuis le 1er février 2024, des exigences renforcées s'appliquent à l'envoi d'e-mails vers des destinataires chez Google et Yahoo. Quiconque envoie plus de 5 000 messages par jour vers des comptes Gmail doit implémenter certains standards d'authentification. Cette mesure vise à endiguer le spam et les abus, mais elle concerne aussi, dans le quotidien professionnel, des factures, des offres et des circulaires légitimes. Si les conditions techniques ne sont pas exactement remplies, le classement en indésirable menace.

• Obligation d'authentification : les protocoles SPF et DKIM doivent être entièrement configurés afin que le domaine expéditeur puisse être vérifié sans ambiguïté.
• Introduction de DMARC : pour les expéditeurs en masse, un enregistrement DMARC valide est prescrit dans les paramètres DNS du domaine. Google admet expressément p=none et n'exige donc aucun niveau d'application.
• Taux de plaintes pour spam : le taux de spam signalé dans les Google Postmaster Tools doit rester durablement inférieur à 0,10 pour cent et ne jamais atteindre 0,30 pour cent.
• Désabonnement simple : les envois publicitaires en masse doivent prendre en charge un désabonnement en un clic (One-Click Unsubscribe). Les demandes de désabonnement doivent être traitées dans un délai de deux jours.

Ces seuils stricts montrent que la sécurité de la messagerie n'est depuis longtemps plus une simple option technique, mais qu'elle influence directement l'activité. Qui ne protège pas l'adresse d'expéditeur de sa propre entreprise risque non seulement de perdre la délivrabilité de ses e-mails, mais ouvre aussi grand la porte aux attaques de hameçonnage menées en son nom. Pour les responsables informatiques et les dirigeants de PME et ETI, c'est un signal clair : il faut placer la sécurité informatique comme affaire de direction tout en haut de l'ordre du jour. Dans le cadre de CAVRIX et de nos services tels que Managed IT et Cybersecurity, nous vous aidons à entretenir ces standards complexes de manière automatisée et à valeur probante, afin de garantir durablement la conformité légale et la réputation de votre entreprise.

Cap sur la réglementation : les standards BSI TR-03182 et NIS2

La directive européenne NIS2 renforce considérablement les exigences de cybersécurité pour les entités qu'elle couvre. Parmi les obligations figure la sécurisation systématique de la communication commerciale. Pour les dirigeants concernés, cela représente un champ d'action urgent, car les manquements peuvent entraîner des conséquences juridiques. Publiée le 24 janvier 2024 par l'Office fédéral allemand de la sécurité des technologies de l'information (BSI), la directive technique TR-03182 sur l'authentification des e-mails décrit l'état technique attendu en Allemagne^[1]. Elle s'adresse aux fournisseurs de services de messagerie et aux exploitants de services de messagerie au sein des organisations, qui peuvent faire certifier volontairement leur conformité. Il n'en découle aucune obligation légale immédiate, pour les PME et ETI, d'introduire DMARC. Avec un service proactif de Cybersecurity et notre expertise en matière de conformité NIS2, CAVRIX vous aide activement à mettre en place une infrastructure pleinement conforme et sûre.

Dans la TR-03182, le BSI définit comment SPF, DKIM et DMARC doivent s'articuler pour rendre plus difficile l'abus de votre adresse d'expéditeur^[1]. Un aspect central de la directive est le passage de la simple surveillance (p=none) à une véritable application. La directive attend comme politique destinataire soit quarantine (les éléments suspects atterrissent dans le dossier des indésirables), soit reject (les messages non autorisés sont directement rejetés) et cite reject comme objectif à long terme. La directive ne contient aucun délai calendaire de mise en oeuvre. Sans cette protection, votre entreprise reste vulnérable et des attaquants peuvent envoyer des e-mails frauduleux au nom de votre marque.

1. Phase 1 (état des lieux) : analyse complète de votre infrastructure de messagerie existante et recensement de tous les systèmes et prestataires qui envoient au nom de votre entreprise. Pour cela, vous publiez dans un premier temps une politique DMARC avec p=none et une adresse rua.
2. Phase 2 (authentification) : mise à disposition complète et configuration sans erreur de SPF et DKIM pour toutes les sources d'envoi actives, y compris la vérification de l'alignement entre l'en-tête From et le domaine contrôlé.
3. Phase 3 (application) : relèvement de la politique DMARC vers quarantine, puis vers reject, accompagné d'un reporting continu^[1].

Mettre en oeuvre la protection des e-mails avec les services Cybersecurity de CAVRIX

La configuration sans faille de SPF, DKIM et DMARC exige de solides connaissances techniques et une surveillance continue. Pour les dirigeants et responsables informatiques des PME et ETI allemandes, CAVRIX propose à cet effet une solution sur mesure. Grâce à l'articulation fluide des services Managed IT, Cybersecurity et conformité, toute votre infrastructure de messagerie est sécurisée selon des standards exigeants comme la directive BSI TR-03182. L'équipe expérimentée prend en charge la configuration sans erreur de vos enregistrements DNS et veille à ce que les messages légitimes arrivent de manière fiable, tandis que les expéditeurs frauduleux sont bloqués systématiquement.

• Managed IT : CAVRIX configure et entretient vos enregistrements DNS directement sur vos serveurs de noms, afin d'exclure de manière fiable les erreurs humaines lors de la mise en place de SPF et DKIM.
• Cybersecurity : une surveillance permanente de votre trafic e-mail sortant et entrant protège vos domaines contre les abus et repousse de manière proactive les usurpations d'identité complexes.
• Conformité : le respect sans faille des exigences réglementaires importantes, telles que celles définies par la directive européenne NIS2 ou par les prescriptions nationales allemandes du BSI, est documenté de manière automatisée pour les audits.

Au quotidien, le Command Center innovant assure une transparence maximale et soulage vos ressources informatiques. Via cette interface centrale et native de l'IA, vous recevez, en cas d'anomalie ou de tentative d'abus de votre adresse d'expéditeur, des alertes de sécurité en temps réel directement dans vos outils de discussion préférés. Vous gardez ainsi à tout moment une vue complète de l'état de sécurité de vos canaux de communication, sans devoir vous plonger vous-même dans des journaux ou des fichiers de log illisibles.

La protection fiable de votre marque et de votre identité numérique ne souffre plus aucun report dans le quotidien professionnel moderne. Si vous avez des questions sur la configuration optimale de votre authentification de messagerie ou si vous avez besoin d'aide pour une mise en oeuvre rapide, vous pouvez convenir directement d'un entretien de conseil gratuit via Contact ou nous adresser vos questions à info@cavrix.de.