Qu'est-ce que l'authentification des e-mails ?

Définition

L'authentification des e-mails est un ensemble de normes techniques, publiées sous forme d'enregistrements dans le DNS de votre domaine, qui vérifient l'origine et l'intégrité d'un message e-mail. L'e-mail n'a pas été conçu en pensant à la vérification de l'expéditeur, si bien que par défaut n'importe qui peut placer n'importe quelle adresse dans le champ From. L'authentification comble cette faille en donnant aux serveurs destinataires un moyen de vérifier si un message qui se réclame de votre domaine a réellement été autorisé par lui.

Trois protocoles font le travail. SPF, le Sender Policy Framework, déclare quels serveurs de messagerie sont autorisés à envoyer au nom de votre domaine. DKIM, DomainKeys Identified Mail, attache une signature cryptographique à chaque message afin que le destinataire puisse confirmer qu'il n'a pas été altéré et qu'il provient de votre domaine. DMARC, Domain-based Message Authentication, Reporting and Conformance, lie ces vérifications à l'adresse que les destinataires voient réellement et indique aux destinataires comment traiter le courrier qui échoue. Une norme connexe, BIMI, peut afficher un logo de marque vérifié une fois DMARC appliqué, mais elle s'appuie sur cette pile plutôt qu'elle ne la remplace.

L'authentification est une propriété du domaine d'envoi, configurée par le propriétaire du domaine dans le DNS. Ce n'est pas quelque chose qu'un destinataire met en place, et c'est distinct de la question de savoir si les destinataires de votre liste sont réels. Cette seconde question relève de la vérification d'e-mails, ce qui explique pourquoi les deux sont souvent abordées de pair.

Comment ça fonctionne

Chaque protocole s'exécute au moment où un serveur destinataire accepte un message. SPF fonctionne grâce à un enregistrement DNS qui répertorie les adresses IP et les serveurs autorisés à envoyer du courrier pour votre domaine. Lorsqu'un message arrive, le serveur destinataire regarde l'adresse IP du serveur expéditeur et la confronte à votre enregistrement SPF publié. Si l'IP figure dans la liste, SPF réussit ; sinon, il échoue.

DKIM fonctionne grâce à la cryptographie à clé publique. Votre système d'envoi signe les messages sortants avec une clé privée, en ajoutant une signature dans l'en-tête du message, et publie la clé publique correspondante dans le DNS. Le serveur destinataire récupère la clé publique, valide la signature et confirme deux choses à la fois : le message a été signé par votre domaine, et les parties signées du message n'ont pas été altérées en transit.

DMARC se place au-dessus et ajoute la notion d'alignement. SPF et DKIM authentifient chacun un domaine, mais ce domaine n'est pas toujours celui qu'une personne voit dans la ligne From. DMARC exige que le domaine authentifié s'aligne avec le domaine From visible, ce qui empêche un attaquant de réussir l'authentification sur un domaine qu'il contrôle tout en usurpant le vôtre dans l'adresse visible. Un enregistrement DMARC publie aussi une politique : p=none demande aux destinataires de seulement surveiller et rapporter, p=quarantine leur demande de traiter le courrier en échec avec méfiance, et p=reject leur demande de le bloquer. DMARC génère en outre des rapports agrégés qui vous montrent qui envoie du courrier sous votre domaine, ce qui est inestimable pour repérer les mauvaises configurations et les abus.

Pourquoi c'est important pour la délivrabilité des e-mails

L'authentification des e-mails est passée de la bonne pratique à l'exigence incontournable. Gmail et Yahoo appliquent des exigences pour expéditeurs qui font de l'authentification une condition préalable à la distribution. Chaque expéditeur a besoin de SPF ou DKIM en place, ainsi que d'un DNS inverse valide, d'un enregistrement PTR correctement configuré et d'une transmission chiffrée en TLS. Les expéditeurs en masse, ceux qui envoient environ 5,000 messages ou plus par jour à des adresses Gmail, ont des obligations supplémentaires : ils doivent publier un enregistrement DMARC, réussir l'alignement de domaine et proposer une désinscription en un clic sur le courrier marketing. Yahoo applique des règles très proches et attend des expéditeurs en masse qu'ils maintiennent leurs taux de plaintes pour spam sous 0,30 pour cent. Une politique DMARC p=none satisfait actuellement à l'exigence DMARC, même si évoluer vers l'application offre une protection plus forte contre l'usurpation.

Si les fournisseurs insistent sur l'authentification, c'est par souci de confiance. L'authentification permet à un destinataire d'avoir la certitude que le courrier qui se réclame de votre domaine en provient réellement, ce qui bloque l'usurpation de domaine exact utilisée dans le phishing et la fraude au président. Le courrier qui échoue à l'authentification, ou qui provient d'un domaine sans aucune authentification, est bien plus susceptible d'être filtré vers le spam ou rejeté d'emblée.

Il est important d'être précis sur ce que fait et ne fait pas l'authentification. Elle prouve l'identité ; elle ne se porte pas garante du contenu. Un spammeur peut authentifier un domaine qui lui appartient. L'authentification est donc nécessaire à une bonne délivrabilité mais pas suffisante à elle seule. Les fournisseurs de messagerie la combinent avec la réputation de l'expéditeur, l'engagement des destinataires et l'analyse du contenu. L'authentification vous fait franchir la porte ; la réputation et l'engagement déterminent dans quel dossier vous atterrissez.

Comment VeriMails gère cela

L'authentification des e-mails et la vérification d'e-mails sont les deux moitiés d'un envoi digne de confiance, et elles couvrent les extrémités opposées du pipeline. L'authentification concerne le domaine depuis lequel vous envoyez et se configure dans le DNS. La vérification concerne les adresses auxquelles vous écrivez et c'est la partie dont VeriMails s'occupe directement. Les deux doivent être en place : un domaine parfaitement authentifié perd tout de même son placement en boîte de réception s'il écrit à une liste pleine d'adresses mortes, car les rebonds et plaintes qui en résultent détruisent la réputation d'expéditeur que les fournisseurs pèsent en parallèle de l'authentification.

VeriMails vérifie votre liste de destinataires afin que l'authentification ne soit pas minée par une mauvaise qualité de liste. Chaque adresse fait l'objet d'un contrôle complet en plusieurs couches : validation de la syntaxe, confirmation MX et DNS, poignée de main SMTP en direct avec le serveur de messagerie destinataire, et détection des domaines catch-all, des adresses jetables et des adresses génériques. Retirer les adresses invalides maintient votre taux de rebond définitif bas, et un faible taux de rebond est l'un des signaux de réputation qui décident si votre courrier authentifié atteint la boîte de réception ou le dossier spam. Vous pouvez vérifier une liste entière par import CSV ou contrôler les adresses une à une via l'API REST. VeriMails renvoie des catégories de délivrabilité claires pour les workflows API et en masse.

VeriMails fournit aussi des outils gratuits qui aident côté authentification lui-même, dont un générateur SPF, un générateur DKIM et un générateur DMARC, afin que vous puissiez produire les bons enregistrements DNS pour votre domaine. Utilisées ensemble, l'authentification établit que vous êtes un expéditeur légitime et la vérification garde votre liste assez propre pour maintenir ce statut. Les nouveaux comptes reçoivent 100 crédits gratuits à l'inscription, sans carte bancaire, et des crédits qui n'expirent jamais, avec une vérification à partir de 0.0019 dollars par e-mail, soit 19 dollars pour 10,000 crédits, et des forfaits annuels à partir de $12.50/month en facturation annuelle.

Questions fréquentes