{"id":84619,"date":"2022-02-21T11:11:31","date_gmt":"2022-02-21T10:11:31","guid":{"rendered":"https:\/\/blog.teamy.be\/?p=84619"},"modified":"2024-05-06T16:55:40","modified_gmt":"2024-05-06T14:55:40","slug":"protection-des-domaines-de-messagerie","status":"publish","type":"post","link":"https:\/\/blog.teamy.be\/index.php\/2022\/02\/21\/protection-des-domaines-de-messagerie\/","title":{"rendered":"Protection des domaines de messagerie"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Les attaques bas\u00e9es sur l\u2019envoi de courriers \u00e9lectroniques sont de plus en plus nombreuses et de plus en plus cibl\u00e9es. Le phishing ou hame\u00e7onnage, d\u00e9signe une technique utilis\u00e9e par des escrocs pour obtenir des informations personnelles. Les phishers envoient un email en se faisant passer pour un organisme de confiance (organisme bancaire, Paypal, eBay, Amazon\u2026), dans le but de r\u00e9cup\u00e9rer des donn\u00e9es confidentielles. Selon les donn\u00e9es r\u00e9colt\u00e9es (informations bancaires, identifiants de connexion\u2026), les escrocs peuvent par exemple se connecter \u00e0 un site pour envoyer du spam.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Afin d\u2019\u00e9viter que des personnes malveillantes usurpent votre identit\u00e9 en utilisant le m\u00eame nom de domaine, il existe des solutions. C\u2019est l\u00e0 que les protocoles d\u2019authentification SPF, DKIM et DMARC entrent en jeu. De la d\u00e9finition de ces termes jusqu\u2019aux \u00e9tapes \u00e0 suivre pour d\u00e9finir Microsoft 356 comme exp\u00e9diteur l\u00e9gitime, je vous explique tout dans cet article.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Un peu de th\u00e9orie ne fait jamais de mal \u2026.<\/p>

\u00a0<\/p>

La Sender Policy Framework, ou SPF, est une norme d\u2019authentification permettant de faire le lien entre un nom de domaine et une adresse email. Elle consiste \u00e0 d\u00e9finir le ou les exp\u00e9diteur(s) autoris\u00e9(s) \u00e0 envoyer des emails avec un domaine donn\u00e9. Elle permet ainsi aux clients de messagerie (Gmail, Outlook\u2026) de v\u00e9rifier que l\u2019email entrant d\u2019un domaine vient d\u2019un h\u00f4te autoris\u00e9 par l\u2019administrateur de ce domaine.<\/p>

\u00a0<\/p>

Le DomainKeys Identified Mail, ou DKIM, est un protocole d\u2019authentification permettant de faire le lien entre un nom de domaine et un message. Le protocole permet de signer votre email avec votre nom de domaine. L\u2019objectif du protocole DKIM n\u2019est pas uniquement de prouver que le nom de domaine n\u2019a pas \u00e9t\u00e9 usurp\u00e9, mais aussi que le message n\u2019a pas \u00e9t\u00e9 alt\u00e9r\u00e9 durant sa transmission.<\/p>

\u00a0<\/p>

Le Domain-based Message Authentication, Reporting and Conformance, ou DMARC, est une norme d\u2019authentification compl\u00e9mentaire \u00e0 SPF et DKIM destin\u00e9e \u00e0 lutter plus efficacement contre le phishing et autres pratiques de spamming. Elle permet aux d\u00e9tenteurs de domaines d\u2019indiquer aux FAI (Fournisseurs d\u2019Acc\u00e8s \u00e0 Internet) et clients de messagerie quelle conduite tenir lorsqu\u2019un message sign\u00e9 de leur domaine n\u2019est pas formellement identifi\u00e9 par une norme SPF ou DKIM.<\/p>

\u00a0<\/p>

\u00a0<\/p>

Il s\u2019agit donc des principaux protocoles permettant de v\u00e9rifier l\u2019identit\u00e9 des exp\u00e9diteurs. C\u2019est un des moyens les plus efficaces pour emp\u00eacher les phishers et autres fraudeurs de se faire passer pour un exp\u00e9diteur l\u00e9gitime dont ils usurperaient l\u2019identit\u00e9 en utilisant le m\u00eame nom de domaine.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Que faire vis-\u00e0-vis de votre environnement Microsoft 365 ?<\/p>

\u00a0<\/p>

Si vous utilisez un domaine personnel, pas celui de onmicrosoft.com, vous devez configurer manuellement certains \u00e9l\u00e9ments de s\u00e9curit\u00e9 d\u00e9taill\u00e9s ci-dessous.\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L’enregistrement SPF :<\/span><\/p>

La notion de SPF est obligatoire pour valider un domaine sous Microsoft 365 !<\/p>

Il suffit de v\u00e9rifier la configuration de vos domaines pour vous assurer que ceux-ci soient toujours valides et correctement configur\u00e9s au niveau des enregistrements DNS.<\/p>

\"Domaine<\/p>

\u00a0<\/p>

\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L’enregistrement DKIM :<\/span><\/p>

\u00a0<\/p>

Via la console d’administration de votre plateforme Microsoft 365, vous avez acc\u00e8s au centre de s\u00e9curit\u00e9 : Accueil \u2013 S\u00e9curit\u00e9 Microsoft\u00a0365<\/a>, et donc aux diff\u00e9rentes strat\u00e9gies et r\u00e8gles pour g\u00e9rer les menaces !<\/p>

\u00a0<\/p>

\"Strat\u00e9gies<\/p>

–> Strat\u00e9gies de menace -> R\u00e8gles -> DKIM<\/p>

\u00a0<\/p>

\u00a0<\/p>

\"R\u00e8gles<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

En s\u00e9lectionnant un de vos domaines, vous allez pouvoir cr\u00e9er des cl\u00e9s DKIM<\/p>

\u00a0<\/p>

\"Strat\u00e9gies<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Vous allez obtenir les cl\u00e9s qu’il va falloir mettre au niveau de vos enregistrements DNS sur votre domaine !<\/p>

\u00a0<\/p>

\"Publier<\/p>

\u00a0<\/p>

\"Ajouter<\/p>

\u00a0<\/p>

Ces deux enregistrements sont \u00e0 cr\u00e9er sur votre domaine, via les interfaces d’administration de votre fournisseur de domaine (OVH, Gandi, \u2026)<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

D\u00e8s que ces deux enregistrement DNS sont associ\u00e9s \u00e0 votre domaine, il ne vous reste plus qu’\u00e0 activer la signature des courriers via les cl\u00e9s DKIM !<\/p>

\"Strat\u00e9gies<\/p>

Il se peut qu’il faille un d\u00e9lai entre le moment o\u00f9 vous avez cr\u00e9\u00e9 les enregistrements DNS et le moment d’activation de DKIM.\u00a0 Souvent une dizaine de minutes suffisent, parfois jusqu’\u00e0 72 heures.<\/p>

\u00a0<\/p>

\"Strat\u00e9gies<\/p>

\u00a0<\/p>

\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L’enregistrement DMARC :<\/span><\/p>\n

\n<\/p>

Concernant les mails entrants sur votre plateforme Microsoft 365, vous n’avez rien \u00e0 faire !<\/p>\n

Pour les messages sortants vous devez configurer DMARC manuellement.<\/p>


<\/p>\n

\n<\/p>

Pour activer DMARC, il faut au pr\u00e9alable, que les enregistrement SPF et DKIM soient op\u00e9rationnels.<\/p>\n

Il faut donc ajouter dans vos enregistrements DNS, un record de type texte avec la valeur suivante :<\/p>\n

\n<\/p>

_dmarc.domain  TTL  IN  TXT  \u00ab\u00a0v=DMARC1; p=policy; pct=100\u00a0\u00bb<\/p>


<\/p>\n

\n<\/p>

\n<\/p>

domain est le domaine que vous souhaitez prot\u00e9ger. Par d\u00e9faut, l\u2019enregistrement prot\u00e8ge le courrier issu du domaine et de tous ses sous-domaines. Par exemple, si vous sp\u00e9cifiez _dmarc.contoso.com, DMARC prot\u00e8ge le courrier issu de ce domaine et tous ses sous-domaines, par exemple housewares.contoso.com ou plumbing.contoso.com.<\/p>


<\/p>\n

\n<\/p>

La valeur TTL doit toujours \u00eatre \u00e9quivalente \u00e0 une heure. L\u2019unit\u00e9 utilis\u00e9e pour TTL, que ce soit les heures (1 heure), les minutes (60 minutes) ou les secondes (3 600 secondes), varie selon le bureau d\u2019enregistrement de votre domaine.<\/p>\n

\n<\/p>


<\/p>

pct=100 indique que cette r\u00e8gle doit \u00eatre utilis\u00e9e pour 100 % des e-mails.<\/p>\n

\n<\/p>

policy indique la strat\u00e9gie que vous souhaitez que le serveur de r\u00e9ception suive si un message est rejet\u00e9 par DMARC. Vous pouvez d\u00e9finir la strat\u00e9gie sur none (Aucune), quarantine (Mettre en quarantaine) ou reject (Rejeter).<\/p>


<\/p>\n

\n<\/p>

\"Ajouter<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Pour suivre les\nmessages en \u00e9chec ou en quarantaine, je vous invite \u00e0 consulter les rapports de\nsuivi de message fournis par la console d’administration Exchange<\/p>

Exchange admin\ncenter (microsoft.com)<\/a><\/p>

 <\/p>

\n\n\n\n\n\n<\/p>

Vous allez \u00eatre\nsurpris du nombre de tentatives \u00ab\u00a0\u00e9chou\u00e9es\u00a0\u00bb depuis votre plateforme\nMicrosoft 365 !<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

Les attaques bas\u00e9es sur l\u2019envoi de courriers \u00e9lectroniques sont de plus en plus nombreuses et de plus en plus cibl\u00e9es.<\/p>\n","protected":false},"author":1,"featured_media":84621,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"colormag_page_layout":"default_layout","_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[174,22,189],"tags":[213],"class_list":["post-84619","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-exchange","category-microsoft-365","category-securite","tag-post"],"views":2085,"_links":{"self":[{"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/posts\/84619","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/comments?post=84619"}],"version-history":[{"count":3,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/posts\/84619\/revisions"}],"predecessor-version":[{"id":85832,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/posts\/84619\/revisions\/85832"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/media\/84621"}],"wp:attachment":[{"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/media?parent=84619"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/categories?post=84619"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/tags?post=84619"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}