Le domaine de votre entreprise fait partie de votre identité. Lorsque des criminels l'usurpent, les clients, fournisseurs et employés peuvent recevoir des messages frauduleux qui semblent provenir de votre entreprise.
Le SPF, le DKIM et le DMARC aident les systèmes de messagerie destinataires à déterminer si un message est autorisé et quoi faire lorsque l'authentification échoue. Le DMARC fournit aussi des rapports qui peuvent révéler quels services envoient du courriel au nom de votre domaine.
Étape 1 : Dressez l'inventaire des expéditeurs
Dressez la liste de tous les services légitimes qui envoient du courriel à l'aide de votre domaine : Microsoft 365 ou Google Workspace, plateformes de marketing, systèmes CRM, outils de facturation, systèmes de soutien, formulaires de site Web, systèmes de paie et fournisseurs spécialisés. Incluez les services rarement utilisés et les sous-domaines.
Ne passez pas à l'application tant que l'inventaire n'est pas fiable. Un expéditeur oublié peut faire en sorte qu'un message légitime soit mis en quarantaine ou rejeté.
Étape 2 : Confirmez le SPF et le DKIM
Le SPF identifie les serveurs autorisés à envoyer du courriel au nom d'un domaine. Le DKIM ajoute une signature cryptographique qui permet au destinataire de valider le message et de détecter certaines modifications. Le DMARC exige un alignement : au moins un résultat SPF ou DKIM réussi doit s'aligner avec le domaine visible dans l'adresse De.
Gardez le SPF facile à maintenir. Un nombre excessif d'inclusions tierces et de services désuets crée de la fragilité. Activez le DKIM pour chaque expéditeur pris en charge et confirmez que le domaine de signature s'aligne correctement.
Étape 3 : Commencez par la production de rapports
Une politique de surveillance — habituellement p=none — demande aux destinataires d'envoyer des rapports sans leur demander de bloquer les courriels en échec. Utilisez ces rapports pour repérer les expéditeurs légitimes, les sources non autorisées et les échecs d'alignement.
La surveillance est une étape d'observation, pas l'état de protection final. Attribuez un responsable pour réviser les rapports et résoudre les constats. Un enregistrement que personne ne révise a une valeur opérationnelle limitée.
Étape 4 : Passez par la quarantaine
Une fois que les expéditeurs légitimes s'authentifient correctement, introduisez l'application graduellement. Une politique de quarantaine demande aux destinataires de traiter les messages en échec avec suspicion, souvent en les dirigeant vers les pourriels ou la quarantaine.
Utilisez le contrôle par pourcentage lorsque cela est approprié pour limiter l'exposition initiale, observez les résultats et augmentez la portée de façon délibérée. Surveillez les plaintes, les échecs de livraison et les flux de travail critiques tout au long du changement.
Étape 5 : Appliquez le rejet
À p=reject, les systèmes destinataires reçoivent l'instruction de rejeter les messages qui échouent au DMARC. Les objectifs de préparation intersectoriels en cybersécurité du Centre canadien pour la cybersécurité recommandent d'activer le DMARC et de le configurer en mode rejet sur l'infrastructure de courriel de l'entreprise.
L'application n'est pas une configuration ponctuelle. De nouveaux fournisseurs, de nouvelles campagnes et de nouveaux systèmes peuvent modifier l'inventaire des expéditeurs autorisés. Révisez continuellement les rapports et les enregistrements DNS, et appliquez une politique appropriée aux sous-domaines.
Ce que le DMARC ne résout pas
Le DMARC ne peut pas empêcher un attaquant de compromettre une vraie boîte de réception, d'enregistrer un domaine similaire ou de convaincre un employé d'agir sur une demande frauduleuse. Jumelez la protection du domaine à la MFA, à la surveillance des boîtes de réception, à la sensibilisation des employés et à la vérification indépendante des changements de paiement.