Authentification des envois d’emails : ce qui change en février 2024
exigencesemailing
Protéger les boîtes mails est un enjeu extrêmement important pour les fournisseurs de messageries. D’ici février 2024, les expéditeurs d’emails devront remplir un certain nombre d’exigences pour que leurs emails soient correctement délivrés.
1/ SPF et DKIM
Il est important de configurer les enregistrements SPF (Sender Policy Framework) et DKIM (Domain Keys Identified Mail) qui sécurisent les domaines d’envois et qui représentent les deux formes d’authentification des emails.
Si vous n’avez pas déjà configuré l’enregistrement SPF ou DKIM, vous pouvez les créer ou les mettre à jour en modifiant votre zone DNS.
2/ Enregistrements PTR
Les domaines ou adresse IP d’envoi doivent disposer d’enregistrements DNS directs et inversés valides (ou d’enregistrements PTR) : Le DNS inversé permet aux fournisseurs de messagerie de vérifier l’expéditeur d’un e-mail en effectuant une recherche DNS inversée avec un enregistrement A (enregistrement d’adresse). L’enregistrement A va relier votre domaine à votre adresse IP.
3/ Taux de spams
Les taux de spams signalés dans Postmaster Tools doivent être en-dessous de 0.3% : Les expéditeurs doivent maintenir leur taux de plaintes pour spam inférieur à 0,3% dans Google Postmaster.
Il faut tout d’abord configurer Google Postmaster, cela permettra aux expéditeurs de trouver certaines informations, comme votre domaine par exemple. Vous pourrez également surveiller votre taux de plaintes pour spam.
4/ Norme Internet Message Format
Les messages doivent répondre à la norme Internet Message Format (RFC 5322) : Cette norme définit le format correct des messages électroniques (en-têtes, corps et pièces jointes du message). Il est donc important de vérifier que votre message réponde bien aux exigences.
5/ Utilisation des en-têtes gmail
Attention à l’utilisation d’en-têtes Gmail « De » : Gmail utilise une politique DMARC de « quarantaine ». Si vous utilisez un en-tête Gmail « De », cela aura un impact sur la bonne livraison de vos e-mails.
6/ En-têtes ARC
Ajoutez des en-têtes ARC aux emails si vous en transférez régulièrement : L’ARC vérifie les contrôles d’authentification des messages transférés, assurant ainsi une remise sécurisée aux destinataires finaux.
7/ Paramétrez le DMARC
Authentifiez le courrier électronique DMARC pour votre domaine d’envoi : DMARC (Domain-based Message Authentification, Reporting & Conformance) est une norme qui s’appuie sur SPF et DKIM et communique une politique aux fournisseurs de messagerie. Cette politique indique comment faire s’ils reçoivent en e-mail qui échoue à une vérification SPF ou DKIM.
Pour mettre en place DMARC il faut :
- Accéder à l’authentification de l’expéditeur et copier l’enregistrement txt de l’hôte et de la valeur avec DMARC.
- Accéder au fournisseur DNS et créer un enregistrement.
- Sélectionner le type d’enregistrement DNS TXT.
- Ajouter la valeur de l’hôte copiée à partir de l’authentification de l’expéditeur (_DMARC suivi du domaine).
- Coller l’enregistrement DMARC (colonne de valeur) copié à partir de la page d’authentification de l’expéditeur (v=DMARC1 ; p=none;). Il est possible d’inclure une balise rua telle que rua=mailto.
- Appuyer sur le bouton Enregistrer/Soumettre puis vérifier que l’enregistrement DMARC a été correctement ajouté au DNS.
Chaque enregistrement DMARC doit définir une politique (aucune, quarantaine ou rejet). Bien que Gmail recommande p=aucun, qui signifie aucune action pour les échecs SPF/ DKIM, c’est le minimum. P=none indique de ne pas prendre de mesures pour les e-mails échouant à la vérification SPF/ DKIM, une option recommandée pour les débutants avec DMARC.
La configuration DMARC la plus sécurisée est p=rejet ou p=quarantaine, mais cela nécessite une meilleure connaissance du DMARC. Il est donc recommandé de travailler avec une équipe d’infogérants pour assurer un niveau élevé de protection.
8/ Personnalisation
Pour le publipostage, le domaine dans l’en-tête « De : » de l’expéditeur doit être aligné sur le domaine SPF ou DKIM : L’alignement garantit que les signatures DKIM et SPF dans les en-têtes s’alignent avec le domaine d’authentification.
Assurez-vous que l’adresse « De : » dans l’en-tête correspond au domaine authentifié par SPF ou DKIM. Pour des détails approfondis, Google propose un article expliquant les différents scénarios, y compris l’alignement strict et assoupli, ainsi que l’utilisation de sous-domaines.
9/ Désinscription
Activez la désinscription en un clic et incluez un lien de désabonnement clairement visible dans le message : Pour les messages auxquels vous êtes abonné, la désinscription en un clic (désinscription de liste) permet aux abonnés de se retirer facilement de la liste de diffusion. L’en-tête List-Unsubscribe devra insérer un bouton ou un lien « Se désabonner » à côté de l’adresse en haut de l’e-mail.
L’en-tête List-Unsubscribe peut automatiquement être ajouté aux e-mails, mais vous pouvez désactiver cette fonctionnalité. La FTC (Federal trade Commission) a défini la distinction entre les e-mails transactionnels et commerciaux.
10/ TLS
Une connexion TLS doit être utilisée pour transmettre des e-mails : TLS (Transport Layer Security) est un protocole de sécurité pour les communications sur Internet. TLS permet le cryptage et la confidentialité des données.
La majorité de ces exigences s’appliquent à tous les expéditeurs. Toutefois, l’enregistrement DMARC, l’alignement et le désabonnement en un clic ne s’appliquent qu’aux expéditeurs qui envoient plus de 5 000 messages par jour.
