Déploiement de DMARC : gérer l'aspect humain de la sécurité des e-mails

DéploiementTechnologie de messagerie électroniqueInformations sur la sécurité

Les défis liés au déploiement du protocole DMARC ne sont pas toujours d'ordre technique

Les principes fondamentaux du DMARC sont suffisamment simples pour qu'on en acquière une bonne compréhension après une journée d'étude. Vous pouvez en apprendre suffisamment pour le mettre en œuvre assez rapidement. 

• SPF indique quels serveurs sont autorisés à envoyer des e-mails au nom de votre domaine. 
• DKIM signe les messages à l'aide d'une clé que vous publiez dans le DNS. 
• DMARC établit un lien entre ces deux éléments et le domaine que vos destinataires voient réellement, et indique aux destinataires comment réagir en cas de divergence entre les deux. 

Les difficultés qui posaient problème auparavant sont désormais résolues. Les fournisseurs de solutions DMARC, tels que dmarcian, gèrent le rapport agrégé au format XML, associent les données d'envoi (comme les adresses IP) aux expéditeurs connus et vous indiquent quelles sources sont conformes et lesquelles ne le sont pas, le tout sous une forme lisible par l'utilisateur. Vous n'avez pas besoin de mettre en place tout cela vous-même. 

Les rapports sont également très complets. Chaque destinataire prenant en charge les rapports DMARC vous indique ce qu’il a détecté ; vous obtenez ainsi la liste de toutes les sources d’envoi associées à votre domaine : la plateforme de messagerie, le système de gestion des tickets, le prestataire de paie, l’outil d’enquête auquel quelqu’un s’est inscrit en 2019, la plateforme de campagne marketing acquise l’année dernière. Vous n’avez pas besoin de deviner ce que contient votre inventaire. Les données vous le fournissent directement. 

Le travail technique est compréhensible et mesurable, les outils existent, et l’essentiel du problème de recensement est résolu. Les rapports vous indiquent quels systèmes transmettent des données. Mais ils ne précisent pas qui est responsable de ces systèmes : c’est cette phase de recensement qui détermine le calendrier de votre projet. 

Votre écosystème de messagerie se compose de deux parties

Triez vos sources d'envoi en deux piles : 

Géré par le service informatique: la plateforme de messagerie, la passerelle de sécurité des e-mails, les systèmes de surveillance et d'alerte, le logiciel de centre de services, le progiciel de gestion intégré (ERP) et tout autre élément financé par le budget informatique. Le service informatique dispose d'un accès administrateur et peut effectuer des modifications directement. 

Outils gérés par les services opérationnels: automatisation du marketing, système de gestion de la relation client (CRM), gestion des ressources humaines et de la paie, suivi des candidatures, outils de gestion des notes de frais, inscription aux événements, plateforme de sondages et facturation. Ces outils ont été achetés sur le budget d’un service, configurés par le personnel de ce service et gérés par ses collaborateurs. Le service informatique ne dispose souvent pas d’identifiant de connexion et ignore même l’existence de l’outil jusqu’à ce qu’il apparaisse dans les rapports DMARC. 

La pile propre à l'entreprise est généralement plus volumineuse que ce à quoi on s'attend, et c'est là que les déploiements finissent par échouer. 

La mise en conformité d'un code source se résume rarement à une simple modification du SPF

On pense souvent qu’il suffit d’ajouter l’en-tête « include » du fournisseur à son enregistrement SPF pour que la source soit désormais conforme à la norme DMARC. Or, cela n’est vrai que pour un petit nombre de sources ; pour la plupart des tiers, cela n’a absolument aucun effet. 

DMARC exige une cohérence. Le domaine figurant dans l’en-tête « From » que votre destinataire voit dans sa boîte de réception doit correspondre au domaine ayant passé les tests SPF ou DKIM. La plupart des fournisseurs envoient leurs e-mails avec leur propre domaine de chemin de retour ; par conséquent, SPF authentifie leur domaine, et non le vôtre. Votre enregistrement SPF n’est même jamais vérifié. Vous pouvez ajouter l’instruction « include » ; la documentation du fournisseur peut même vous conseiller de le faire (ce qui serait une erreur), mais le résultat DMARC restera exactement le même : un échec. 

L'alignement résulte d'une modification au sein de l'application du fournisseur. Cela peut se produire de deux manières : 

En libre-service : le fournisseur dispose d'un domaine d'envoi ou d'une page d'authentification. Vous ajoutez votre domaine, il vous fournit des clés DKIM ou des enregistrements CNAME à publier, vous les publiez, puis vous revenez sur la page et cliquez sur « Vérifier ». Cette opération peut être effectuée en quelques minutes par une personne disposant de droits d'administrateur sur cette plateforme. 

Sur demande : le fournisseur ne met pas ce paramètre à disposition. Vous devez ouvrir un ticket d'assistance et lui demander d'activer la signature DKIM personnalisée avec votre domaine. Il vous fournira les enregistrements DKIM ou CNAME à ajouter, mais seulement une fois votre demande traitée. La plupart du temps, cette option est gratuite ; parfois, elle nécessite une mise à niveau de votre forfait ; et parfois, il faut compter trois semaines, deux séries d'échanges pour clarifier les points et une réunion pour obtenir ce dont vous avez besoin. 

Quoi qu’il en soit, voyez ce dont ces deux démarches ont besoin : un compte sur la plateforme du fournisseur avec des droits d’administrateur. Dans la plupart des cas, le simple fait de créer un ticket implique d’être désigné comme interlocuteur sur le compte, et vos identifiants de connexion permettront de vous authentifier et de valider votre droit à l’assistance.

Le service informatique peut publier des enregistrements DNS à volonté. Mais sans accès aux systèmes métier, son pouvoir s'arrête là. 

La recherche des parties prenantes

C'est là que ce projet relève en grande partie du travail d'enquête. 

• À qui appartient cette source ? 
• Qui dispose des identifiants d'administrateur ? 
• Qui est la personne de contact désignée chez le fournisseur ? 
• Qui donne son accord pour un module complémentaire payant, le cas échéant ? 

On finit par trouver cette personne, et cette recherche comporte son lot de difficultés qui mériteraient à elles seules un guide à part entière.

Grande autonomie, faible enjeu

Pouvoir d'action important. C'est eux qui contrôlent le système. C'est eux qui gèrent les accès. Ce sont eux qui entretiennent la relation avec le fournisseur, et ce sont eux qui ont le pouvoir d'approuver ou d'apporter une modification. Sans eux, rien ne se passera au niveau de la source. 

Les enjeux sont faibles. Ils n’ont jamais entendu parler de DMARC. Ce n’est ni leur responsabilité ni leur objectif ; cela ne figure pas dans leur fiche de poste. De leur point de vue, le service informatique leur demande de se connecter à un outil qu’ils utilisent pour les newsletters et de modifier un paramètre. Et ils sont perplexes : le service informatique attend d’eux qu’ils résolvent un problème futur dans un délai qui leur est caché. Ils ne sont pas à l’origine du problème ; pour eux, cela ne cause aucun préjudice, et ils n’ont pas eu leur mot à dire sur ce paramètre.

Tout cela est vrai à la fois, et c’est cette combinaison qui fait voler en éclats le calendrier. Pour la partie prenante, la demande semble insignifiante. Elle se retrouve tout en bas d’une liste déjà remplie de tâches dont dépendent ses résultats. Deux semaines plus tard, vous relancez la personne, pour devoir la relancer à nouveau deux semaines plus tard. 

Répétez l'opération pour les 10 à 20 sources appartenant à l'entreprise répertoriées dans vos rapports DMARC, qui ont souvent chacune un responsable différent et leur propre calendrier. C'est là que réside le véritable goulot d'étranglement. Ces personnes ne font pas obstruction et ne sont pas incompétentes ; elles vous ignorent simplement de manière rationnelle, car elles ne comprennent pas pourquoi elles ne devraient pas le faire. 

Parrainage du projet DMARC

La seule chose qui permet réellement de faire bouger les choses, c’est un mandat émanant d’une personne ayant suffisamment d’ancienneté pour chapeauter à la fois le service informatique et l’unité opérationnelle, ou une véritable collaboration horizontale entre les dirigeants. Nous avions déjà abordé ce sujet dans notre précédent article consacré à la complexité du déploiement du protocole DMARC dans l’enseignement supérieur. Lorsque la demande est formulée dans le cadre des attributions de la personne concernée, avec une date de mise en œuvre connue de son responsable, elle perd son caractère insignifiant et prend de l’ampleur. 

Le parrainage doit toutefois être concret, et voici quelques mesures à prendre pour s'en assurer :

• Constituez la liste des propriétaires dès que possible. Attribuez un nom à chaque source d'envoi. 
• Obtenez le mandat par écrit de la part du promoteur et servez-vous-en pour élaborer votre plan de communication lorsque vous prendrez contact avec les propriétaires. Veillez à ce que leurs responsables en prennent connaissance. 
• Si possible, indiquez les étapes précises à suivre pour répondre aux exigences de configuration spécifiques de leur fournisseur. Si vous ne savez pas exactement quelles sont ces exigences, consultez notre base de données ou faites appel à nos services d'assistance. C'est notre métier, jour après jour. 
• Faites remonter l'information selon un calendrier défini par le responsable du projet, avant que les choses ne s'enlisent pendant des mois. 

Il est également important de noter ce qui ne permettra pas de sauver ce processus. L’IA n’y parviendra pas. Elle peut rédiger vos messages de prospection et même lire vos rapports jusqu’à un certain point, mais elle ne peut pas se connecter à une plateforme marketing pour laquelle elle ne dispose pas d’identifiants, ni susciter l’intérêt d’une personne très occupée. Les outils d’automatisation n’y parviendront pas non plus, car la plupart de ces fournisseurs ne proposent pas d’API permettant de modifier le paramètre dont vous avez besoin, et ceux qui le font exigent tout de même un compte que vous ne possédez probablement pas. 

Il s'agit ici de gestion de projet, avec l'identification des parties prenantes, un promoteur doté d'une réelle autorité, des demandes claires, un suivi des engagements et un processus d'escalade bien défini. Ce n'est pas forcément un travail très prestigieux, mais c'est cette partie-là qui déterminera si la mise en œuvre aura lieu ce trimestre ou l'année prochaine. 

Organisez le projet en fonction des personnes. Les enregistrements DNS ne constitueront jamais la partie la plus difficile. 

---

Vous souhaitez poursuivre la conversation ? Rendez-vous sur le Forum dmarcian.