Modes de politique DMARC : Mettre en quarantaine ou rejeter
Publiée dans le DNS, une politique DMARC permet au propriétaire d'un domaine d'indiquer que ses messages électroniques sont protégés par SPF et/ou DKIM et est utilisée pour déterminer ce qui est fait aux messages non conformes :
- p=none est utilisé pour recueillir des commentaires et obtenir une visibilité sur les flux d'e-mails sans avoir d'impact sur les flux existants. Il s'agit d'une première étape cruciale.
- p=quarantine permet aux destinataires d'e-mails de traiter les e-mails qui échouent au contrôle DMARC comme suspects et de les classer dans un dossier SPAM.
- p=reject demande que les destinataires de courriels rejettent les courriels qui n'ont pas été vérifiés par DMARC.
Les gens nous demandent souvent : "Quelle est la différence entre les politiques DMARC de quarantaine et de rejet, et que se passera-t-il lorsque je publierai ces politiques ?"
Il est important de comprendre ce qui se passe lorsqu'une politique de quarantaine ou de rejet DMARC est publiée. Nous avons donc rassemblé quelques connaissances pour vous aider à clarifier les différences entre les deux.
Quarantaine
Une politique DMARC définie sur p=quarantine indique aux destinataires du courrier électronique qu'ils doivent traiter avec une attention accrue les courriels qui échouent à la vérification DMARC. Les courriels sont toujours acceptés et il appartient à chaque destinataire de mettre en œuvre les mesures de quarantaine signifie. Les possibilités de mise en œuvre sont les suivantes :
- Remise dans le dossier spam: si un récepteur de courrier électronique héberge la boîte aux lettres du destinataire, il peut être en mesure de remettre un courrier non conforme dans le dossier spam du destinataire.
- Mise en quarantaine temporaire: un destinataire d'e-mails peut choisir de mettre temporairement en quarantaine les e-mails non conformes afin de pouvoir procéder à une analyse supplémentaire de ces derniers. Un opérateur peut ensuite libérer le courriel de la quarantaine après examen.
- Augmenter l'agressivité du filtrage anti-spam : Le filtrage anti-spam est un compromis entre l'identification d'un maximum de spam et l'identification accidentelle d'un courriel souhaité comme spam. Les e-mails qui tombent sous le coup d'une politique DMARC réglée sur la quarantaine sont plus susceptibles d'être considérés comme du spam.
Ce qu'il faut savoir au sujet de la publication d'une politique de quarantaine, c'est que les courriels non conformes sont quand même livrés. En raison de la technologie non-DMARC qui peut être présente pour bloquer le spam, l'email peut ou non arriver à sa destination finale, mais l'email continuera à circuler depuis les serveurs de messagerie.
L'impact d'une politique de quarantaine sur le courrier électronique légitime non conforme ne sera donc pas immédiatement évident pour les sources de ce courrier. La source du courriel légitime mais non conforme verra une diminution des performances de ses communications par courriel. En raison des différentes manières dont la politique de quarantaine DMARC est mise en œuvre, le courrier électronique de la source sera classé comme spam, retardé, voire rejeté par les destinataires. À moins que la source du courriel affecté ne porte une attention particulière à ses propres performances, l'impact de la quarantaine peut passer inaperçu pendant une longue période.
Rejeter
Une politique DMARC définie sur p=reject indique aux destinataires du courrier électronique qu'ils doivent refuser d'accepter les courriers électroniques qui ne passent pas le contrôle DMARC. Il existe deux implémentations connues :
- Refuser d'accepter les e-mails non conformes au moment du SMTP. Il s'agit de l'implémentation préférée et la plus largement adoptée car la livraison aux récepteurs vérifiant DMARC est empêchée. Les expéditeurs sont immédiatement informés de la raison pour laquelle les messages non conformes ne sont pas transmis.
- Accepter initialement le courrier électronique via SMTP, puis empêcher la livraison finale du courrier électronique qui échoue à DMARC. Cette mise en œuvre est moins optimale dans la mesure où la responsabilité de la livraison d'un courriel a été assumée via SMTP, et pourtant le courriel n'est finalement pas livré. Lorsque la livraison échoue, l'une des deux choses suivantes peut se produire :
- un avis d'état de livraison (aussi appelé message de "rebond") est généré, ou
- le courriel non conforme est silencieusement abandonné.
Par défaut, les courriels qui font l'objet d'une politique de rejet DMARC ne sont pas délivrés. Ce comportement est un excellent moyen de lutter contre l'envoi d'e-mails non autorisés.
L'impact d'une politique de rejet sur les e-mails légitimes mais non conformes sera donc immédiatement évident : les e-mails cesseront de circuler. Lorsqu'il adopte une politique de rejet, le propriétaire du domaine doit être prêt à traiter les sources légitimes d'e-mails qui pourraient se heurter à des politiques de rejet, car la source de l'e-mail aura certainement besoin d'aide pour se conformer à DMARC.
Minimiser l'impact des politiques
DMARC est conçu pour fournir aux propriétaires de domaines une visibilité, via des rapports de retour d'information, sur les performances des domaines. Les propriétaires de domaines sont censés utiliser cette visibilité pour mettre leurs sources légitimes d'e-mails en conformité avec DMARC avant avant de déployer le système DMARC quarantaine ou rejeter politique. Lorsqu'elle est déployée correctement, l'impact de la quarantaine ou rejeter sur le courrier électronique légitime est minime.
Une note sur le transfert
Même lorsque les propriétaires de domaines suivent les étapes appropriées pour déployer DMARC et que toutes les sources légitimes d'e-mails envoient des e-mails conformes à DMARC, le transfert d'e-mails peut poser des problèmes. Dans ce cas, les messages peuvent parvenir aux destinataires par des voies qui ne permettent pas à DMARC de déterminer si le message est autorisé. Même si le propriétaire du domaine fait tout ce qu'il faut, certains courriels légitimes peuvent être mis en quarantaine ou rejetés par les politiques DMARC. La visibilité que DMARC fournit aux propriétaires de domaine peut décrire l'étendue de cet impact (elle varie selon le domaine et l'endroit où le courriel est envoyé), et devrait être intégrée à toute décision de passer à des politiques de quarantaine ou de rejet.
Nous sommes là pour vous aider
Avec une équipe d'experts en sécurité du courrier électronique et une mission visant à rendre le courrier électronique et l'Internet plus fiables grâce à la sécurité des domaines, dmarcian est là pour aider à évaluer le catalogue de domaines d'une organisation et à mettre en œuvre et gérer DMARC à long terme.
Vous voulez continuer la conversation ? Rendez-vous sur le forum dmarcien.
