Enregistrements TXT expliqués : SPF, DKIM et DMARC

Un enregistrement TXT contient du texte libre rattaché à un nom de domaine. Cela paraît anodin, mais c'est par là que passe la publication de tout le système de confiance du courrier, ainsi que la plupart des vérifications de propriété de domaine que vous aurez à faire.

Le problème de fond est que SMTP, conçu en 1982, permet à n'importe quel serveur de prétendre envoyer au nom de n'importe quel domaine. Rien dans le protocole ne l'empêche. SPF, DKIM et DMARC sont trois couches ajoutées après coup pour y remédier, et toutes trois résident dans des enregistrements TXT.

SPF : quels serveurs peuvent envoyer en votre nom

SPF (Sender Policy Framework) publie une liste des serveurs autorisés à envoyer du courrier pour votre domaine. Un serveur de réception compare l'IP qui se connecte à cette liste.

example.com.    3600    IN    TXT    "v=spf1 include:_spf.google.com ip4:93.184.216.34 ~all"

DKIM : une signature cryptographique

DKIM (DomainKeys Identified Mail) signe chaque message sortant avec une clé privée. Vous publiez la clé publique correspondante dans le DNS, et les destinataires vérifient la signature.

selector1._domainkey.example.com.  IN  TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEB..."

La partie selector1 est choisie par votre fournisseur de messagerie et incluse dans chaque message signé, afin que les destinataires sachent quelle clé récupérer. Les sélecteurs permettent de faire tourner les clés, ou d'utiliser plusieurs fournisseurs, sans conflit.

L'avantage de DKIM sur SPF est que la signature couvre le message lui-même, et survit donc au transfert. Sa faiblesse est qu'il ne dit rien des messages qui arrivent sans aucune signature, ce que DMARC vient combler.

DMARC : que faire quand les deux premiers échouent

DMARC (Domain-based Message Authentication, Reporting and Conformance) relie les deux autres : il exige que SPF ou DKIM non seulement réussissent mais soient alignés avec l'adresse From visible, et il indique aux destinataires quoi faire en cas d'échec.

_dmarc.example.com.    IN    TXT    "v=DMARC1; p=quarantine; rua=mailto:reports@example.com; pct=100"

Déployer les trois en toute sécurité

L'ordre compte. Passer directement à p=reject est le moyen classique de rendre vos propres factures non distribuables.

1. 1

   Inventorier tout ce qui envoie en votre nom

   Votre fournisseur de messagerie, bien sûr, mais aussi les outils de facturation, le CRM, les plateformes marketing, les systèmes de tickets et le courrier transactionnel de votre application. Tout oubli ici posera problème plus tard.

2. 2

   Publier SPF avec un échec souple

   Incluez chaque expéditeur de l'étape un et terminez par ~all. L'échec souple marque les expéditeurs non listés comme suspects sans détruire le courrier pendant que vous vérifiez la liste.

3. 3

   Activer la signature DKIM

   Activez-la chez chaque fournisseur et publiez les enregistrements de sélecteur qu'il vous donne. Envoyez un message de test et confirmez que la signature est vérifiée.

4. 4

   Démarrer DMARC à p=none

   Surveillance uniquement. Collectez les rapports agrégés pendant deux à quatre semaines : ils révéleront les expéditeurs que vous aviez oubliés.

5. 5

   Durcir progressivement

   Une fois que les rapports ne montrent que des sources légitimes qui réussissent, passez à p=quarantine, éventuellement avec pct=25 d'abord, puis à p=reject lorsque tout est propre.

Les enregistrements TXT ne servent pas qu'au courrier

Le même type d'enregistrement porte la vérification de propriété de domaine pour des dizaines de services : Google Search Console, Microsoft 365, Facebook et d'autres vous demandent de publier un jeton sous forme d'enregistrement TXT, puis de le vérifier.

example.com.    IN    TXT    "google-site-verification=rXsLp2..."
example.com.    IN    TXT    "MS=ms12345678"

Ils cohabitent sans problème. Un domaine peut contenir de nombreux enregistrements TXT ; la seule règle est qu'il doit y en avoir exactement un commençant par v=spf1.

Passez n'importe quel domaine dans l'outil de recherche pour voir tous ses enregistrements TXT ensemble : un moyen rapide de repérer un enregistrement SPF en double ou un jeton de vérification qui n'a jamais été retiré.