Sécurisez vos emails avec SPF, DKIM et DMARC chez Gandi
Les emails professionnels subissent chaque jour des tentatives d'usurpation, d'hameçonnage et d'interception. Pour protéger votre domaine et préserver la confiance de vos destinataires, trois protocoles d'authentification se sont imposés comme un trio indispensable : SPF, DKIM et DMARC. Combinés, ils réduisent les risques de fraude et améliorent sensiblement le taux de délivrabilité de vos campagnes.
Gandi intègre nativement la gestion de SPF, DKIM et DMARC dans son interface d'administration DNS et ses offres de messagerie. Quelques clics suffisent pour activer ces protections, que vous utilisiez les boites Gandi Mail, le Simple Hosting pour vos applications transactionnelles ou un serveur SMTP tiers relayant par vos serveurs. Cette accessibilité rend la sécurité emailing abordable, même pour les petites structures.
Le rôle de SPF dans la protection du domaine
Le Sender Policy Framework (SPF) est un enregistrement DNS de type TXT qui publie la liste des serveurs autorisés à expédier des emails au nom de votre domaine. Lorsqu'un serveur destinataire reçoit un message, il interroge le DNS pour vérifier que l'adresse IP de l'expéditeur figure dans cette liste. Si ce n'est pas le cas, le courrier peut être marqué comme suspect, rejeté en amont ou relégué dans le dossier des courriers indésirables.
Pour rédiger un enregistrement SPF chez Gandi, il suffit d'ajouter une ligne commençant par v=spf1 dans la zone DNS du domaine. Les mécanismes fréquemment employés incluent include:_spf.gandi.net pour autoriser les serveurs Gandi, a ou mx pour accepter l'IP du site web, et un suffixe ~all ou -all pour fixer la politique de repli. La syntaxe reste rigoureuse : un seul enregistrement SPF est autorisé par domaine, sous peine de générer des erreurs lors des vérifications. Au passage, gardez aussi à l'esprit les considérations sur les extensions exotiques si vous gérez plusieurs domaines aux TLD variés.
Une erreur répandue consiste à multiplier les déclarations SPF ou à dépasser la limite des dix mécanismes DNS, ce qui provoque des échecs de validation. Pour les configurations impliquant plusieurs prestataires d'envoi, un sous-domaine dédié offre souvent une solution plus pérenne qu'un enregistrement unique saturé.
DKIM pour signer vos messages sortants
DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque email expédié. Le serveur émetteur génère cette signature à l'aide d'une clé privée, tandis que le serveur destinataire la vérifie en consultant la clé publique publiée dans le DNS. Cette vérification garantit que le contenu du message n'a pas été modifié durant le transport et que l'expéditeur possède effectivement la clé associée au domaine.
Gandi génère automatiquement une paire de clés lors de l'activation de DKIM sur une boite mail ou un domaine. L'enregistrement DNS à publier contient le sélecteur, le type de clé (généralement RSA 1024 ou 2048 bits) et la clé publique en base64, souvent hébergée sur un sous-domaine de type default._domainkey.votredomaine.fr. Le sélecteur peut être personnalisé pour gérer plusieurs signatures en parallèle.
La rotation régulière des clés renforce la sécurité en limitant la fenêtre d'exploitation en cas de compromission. Une clé compromise permettrait à un attaquant de signer des messages au nom de votre domaine, ruinant ainsi tous les efforts de protection précédents. Pour suivre la procédure pas à pas, la documentation instructions-by-reference détaille chaque manipulation avec captures et exemples.
DMARC pour orchestrer les vérifications
DMARC (Domain-based Message Authentication, Reporting and Conformance) relie SPF et DKIM en imposant un alignement entre le domaine visible dans l'en-tête du message et le domaine authentifié. Sans ce mécanisme, un attaquant peut contourner les vérifications en utilisant un sous-domaine ou un domaine ressemblant. DMARC ajoute aussi une instruction claire au serveur destinataire : surveiller sans rejeter (p=none), mettre en quarantaine (p=quarantine) ou rejeter (p=reject).
La mise en place progressive reste la stratégie la plus sûre. Une politique p=none autorise la collecte de rapports sans risquer de perdre des emails légitimes, puis les règles s'affinent à mesure que les données s'accumulent. Les rapports XML transmis par les serveurs destinataires contiennent l'IP d'envoi, le résultat d'authentification et l'alignement observé, ce qui aide à repérer les sources suspectes.
| Protocole | Fonction principale | Enregistrement DNS | Politique courante |
|---|---|---|---|
| SPF | Liste les IP autorisées à émettre | TXT commençant par v=spf1 |
~all ou -all |
| DKIM | Signe cryptographiquement le contenu | TXT sur _domainkey (sélecteur) |
RSA 2048 bits |
| DMARC | Aligne SPF/DKIM et définit la réaction | TXT commençant par v=DMARC1 |
p=none au démarrage |
Configurer SPF, DKIM et DMARC depuis l'espace Gandi
L'interface d'administration Gandi centralise la gestion DNS depuis le tableau de bord du domaine. Pour chaque enregistrement, il convient de préciser le sous-domaine, le type (TXT), la valeur et le TTL. Les modèles proposés pour les services Gandi couvrent les cas les plus courants, mais une configuration sur mesure reste préférable pour les domaines stratégiques ou multi-prestataires.
Avant publication, validez la syntaxe avec un outil en ligne reconnu. Une virgule manquante, un caractère illégal ou un TTL trop bref peut bloquer la propagation et générer des faux positifs. La propagation DNS peut prendre jusqu'à 48 heures, pendant lesquelles certains serveurs continueront d'appliquer l'ancienne politique. Pour les applications hébergées sur Simple Hosting, les variables d'environnement permettent de préciser le sélecteur DKIM et les relais SMTP utilisés. Pour compléter votre boîte à outils d'administrateur, le portail indirtik recense des utilitaires de diagnostic et de surveillance utiles.
Surveiller et faire évoluer la configuration dans le temps
Une fois les trois protocoles activés, la surveillance devient une activité régulière. Analysez les retours DMARC pour identifier les sources d'envoi inattendues : un pic d'emails non authentifiés depuis une IP inconnue signale souvent une tentative d'usurpation ou un prestataire mal configuré qu'il faut recadrer. Les rapports deviennent également un indicateur précieux lors des migrations de prestataire.
Documentez chaque modification de la zone DNS, en particulier les rotations de clés et les changements de mécanismes. Cette traçabilité simplifie le diagnostic en cas d'incident et permet de revenir rapidement à un état stable. Gardez un œil sur les sous-domaines créés pour des tests temporaires, qui peuvent conserver d'anciennes signatures actives.
Activez SPF, DKIM et DMARC depuis votre espace Gandi dès aujourd'hui et constatez l'amélioration de la délivrabilité ainsi que la réduction des tentatives de fraude. Vos destinataires recevront des messages authentifiés, votre réputation d'expéditeur se consolidera et votre domaine gagnera en crédibilité auprès des filtres anti-spam.
