Laposte.net va (enfin) serrer la vis sur la vérification des emails

Sur LinkedIn, Simon Bressier (nouveau président de Signal Spam et responsable Anti-Abuse et Délivrabilité des Services Numériques La Poste), annonce qu’à partir de courant septembre, « 100 % des mails ne présentant ni SPF ni DKIM ni DMARC, se verront au mieux placés en dossier indésirable » des boites Laposte.net.

Le responsable reconnait que, aujourd'hui encore, « des mails ne présentant aucun protocole d'authentification peuvent encore être livrés en boîte de réception ». « SPF et DKIM et DMARC ne seront plus optionnels dans un avenir proche », affirme-t-il. Il promet d’autres annonces avec de plus amples informations, mais sans préciser quand elles seront faites.

Le tiercé de la sécurité des emails : SPF, DKIM, DMARC

Mais de quoi parle-t-on ? De trois protocoles pour sécuriser et authentifier les emails. Nous les avons déjà longuement détaillés par ici.

• Emails avec SPF, DKIM, DMARC, ARC et BIMI : à quoi ça sert, comment en profiter ?

SPF (Sender Policy Framework) vérifie que le serveur envoyant un email est bien autorisé à le faire au nom du domaine (via un enregistrement DNS). DKIM (DomainKeys Identified Mail) permet de son côté une authentification de l’expéditeur et une protection des messages avec une signature numérique.

Enfin, DMARC (Domain-based Message Authentication, Reporting & Conformance) permet de définir une politique pour gérer les emails non authentifiés. Il y a trois possibilités : « none » pour délivrer malgré tout l’email normalement, « quarantine » pour traiter le courriel comme suspect (le considérer comme spam par exemple) et enfin « reject » pour purement et simplement rejeter l’email.

La prise en charge de SPF, DKIM et DMARC par Laposte.net est donc une bonne chose, dont on se demande pourquoi elle n’est pas arrivée avant. C’est aussi une continuité d’un mouvement lancé il y a déjà plusieurs mois par les gros fournisseurs d’emails.

La sécurité des emails avance (trop) doucement…

Gmail (Google) et Yahoo! ont renforcé leurs exigences en 2024 pour les gros expéditeurs, tandis que Microsoft a fait de même en avril dernier avec Outlook.com. Dans les réponses à la publication LinkedIn, Axelle Allouch (Head of Anti-Abuse and Internet Security team) confirme que c’est aussi le cas pour Orange « depuis quelques mois ».

Début 2023, nous avions fait un tour des emails chez les principaux FAI. Free faisait un carton plein avec SPF, DKIM et DMARC, SFR suivait avec SPF et DKIM, tandis que Bouygues Telecom et Orange se contentaient de SPF uniquement (l’attente a été longue…).

Au même moment, l’AFNIC publiait son bilan sur plus de 3 millions de noms de domaine utilisés pour des emails : 57,8 % publiaient une politique SPF, 23,1 % au moins une clef DKIM et 7,8 % une politique DMARC.

Le bilan était alors bien triste : seulement 48 421 noms de domaines utilisés pour des emails étaient protégés contre l’usurpation d’identité : « 1,3  % de toute la zone .fr publient une politique DMARC "p=reject" ». Cette dernière est la seule option qui rejette le courriel, alors que les deux autres le traitent normalement ou le placent en spam, mais il arrive dans la boîte email du destinataire.

• Sécurité des emails : trop peu de « .fr » sont protégés, quid des quatre FAI nationaux ?