Usurpation d’adresse e-mail : empêcher qu’on écrive en votre nom

L’e-mail a été conçu sans aucune vérification de l’expéditeur. L’adresse affichée dans le champ De est tapée par celui qui envoie, exactement comme l’adresse de retour au dos d’une enveloppe. C’est pourquoi un inconnu peut envoyer « Merci de régler cette facture sur notre nouveau RIB » depuis compta@votredomaine.fr sans jamais toucher à vos serveurs. C’est l’usurpation (spoofing), et sur la plupart des domaines de petites entreprises, elle fonctionne encore aujourd’hui.

La parade n’est pas un logiciel sur vos ordinateurs. Ce sont trois enregistrements dans le DNS de votre domaine, qui indiquent aux serveurs destinataires comment reconnaître votre vrai courrier et quoi faire du reste.

1. SPF : la liste des serveurs autorisés

SPF est un enregistrement TXT qui liste les serveurs autorisés à envoyer pour votre domaine :

v=spf1 include:_spf.google.com include:spf.brevo.com -all

Un seul enregistrement par domaine, dix recherches DNS au plus, et une fin qui dit quelque chose : -all (rejeter le reste) ou ~all (le traiter comme suspect). Un enregistrement qui finit par +all autorise Internet tout entier, ce qui est pire que rien. Le générateur SPF écrit l’enregistrement à partir de la liste de vos services.

SPF seul n’empêche pas l’usurpation : il vérifie l’adresse d’enveloppe, cachée, pas le champ De que lisent les gens.

2. DKIM : une signature sur chaque message

DKIM ajoute à chaque message une signature cryptographique, faite avec une clé dont la moitié publique est dans votre DNS. Le destinataire vérifie la signature et sait que le message vient de quelqu’un qui détient votre clé, sans modification en route. Chaque service d’envoi (Microsoft 365, Google Workspace, votre outil de newsletter) a ses propres enregistrements DKIM : voir les guides Microsoft 365, Google Workspace, Brevo et Mailchimp.

3. DMARC : la règle qui les relie au champ De

C’est DMARC qui arrête vraiment l’usurpation. Il exige que SPF ou DKIM réussisse pour le domaine affiché dans le champ De, et dit aux destinataires quoi faire quand aucun ne réussit :

v=DMARC1; p=reject; rua=mailto:dmarc@votredomaine.fr

p=none se contente d’observer. p=quarantine envoie les faux messages en spam. p=reject les refuse. Commencez par none avec une adresse de rapports, lisez-les jusqu’à ce que tous vos vrais services passent, puis serrez : De p=none à p=reject donne les étapes. Le générateur DMARC écrit l’enregistrement.

Les grandes messageries l’exigent désormais de toute façon : Gmail et Yahoo demandent SPF, DKIM et un enregistrement DMARC aux gros expéditeurs, et Microsoft refuse les gros expéditeurs qui n’en ont pas.

Ce que DMARC ne peut pas empêcher

• Les domaines sosies. votredomaine-factures.fr ou votredornaine.fr (avec rn pour m) appartiennent à l’attaquant, qui peut les authentifier parfaitement. Surveillez-les : Domaines sosies.
• L’usurpation du nom affiché. « Votre PDG » <pdg.nom@gmail.com> : le domaine est celui de Gmail, et il passe. Seuls la formation et le réflexe « vérifier l’adresse » aident.
• Une vraie boîte piratée. Un message parti de votre propre compte passe tous les contrôles.

Quelqu’un usurpe votre adresse : que faire aujourd’hui

1. Distinguer usurpation et compte piraté. Faites-vous transférer un des messages en pièce jointe et lisez ses en-têtes avec l’analyseur d’en-têtes. S’il est parti des serveurs de votre fournisseur avec votre signature DKIM, un compte est compromis : changez son mot de passe, activez la double authentification et cherchez des règles de transfert que vous n’avez pas créées.
2. S’il s’agit d’usurpation, regardez votre enregistrement DMARC. Pas d’enregistrement, ou p=none : voilà pourquoi le message est distribué. Le vérificateur DMARC montre ce que vous publiez.
3. Prévenez ceux qui l’ont reçu. Clients et fournisseurs d’abord, avec une règle simple : « Nous ne changeons jamais de coordonnées bancaires par e-mail. » Vous pouvez aussi signaler l’arnaque sur cybermalveillance.gouv.fr.
4. Serrez DMARC aussi vite que les rapports le permettent. Si vous connaissez déjà tous vos services d’envoi, p=quarantine peut être posé la même semaine.
5. Les messages d’erreur pour des e-mails jamais envoyés (« Non remis… ») sont l’effet secondaire de l’usurpation. Ils cessent quand les destinataires refusent les faux messages à l’entrée.

La vérification SPF, DKIM et DMARC, gratuite, teste les trois enregistrements de votre domaine d’un coup.