La combinaison de l'architecture sécurisée dès la conception de Google Workspace avec les protections intégrées de Gmail contre le spam, le phishing et les logiciels malveillants constitue un excellent moyen de protéger vos utilisateurs contre les menaces externes. Mais qu’en est-il des menaces émanant d’acteurs malveillants qui détournent votre propre domaine pour usurper l’identité de vos utilisateurs et lancer des attaques par courrier électronique contre vos clients, vos employés et votre marque ?
Pire encore, saviez-vous que n'importe qui sur Internet peut envoyer des e-mails « depuis » votre domaine sans avoir besoin d'accéder à votre compte ? C'est là qu'intervient DMARC.
Avez-vous une politique DMARC ?
DMARC signifie Authentification, reporting et conformité des messages basés sur le domaine. Sans politique DMARC, les domaines qui envoient et reçoivent des e-mails sont vulnérables à l'usurpation d'identité, permettant à des tiers de :
- Lancez des attaques de phishing 🎣
- Distribuez du spam, des logiciels malveillants ou des ransomwares ☣️
- Lancez des escroqueries d'ingénierie sociale contre des clients ou des employés 💸
Une politique DMARC solide permet aux administrateurs de surveiller, de mettre en quarantaine ou de refuser la livraison des messages envoyés via leur domaine par des expéditeurs non autorisés. En d’autres termes, chaque entreprise a besoin d’une politique DMARC pour protéger la réputation de sa marque et de son domaine. Chez Rise Digital, chaque client Google Workspace est configuré avec une politique DMARC dès le premier jour.
Comment fonctionne DMARC ?
DMARC remplit deux fonctions principales :
- DMARC envoie des rapports contenant la source (serveurs et domaines) des messages envoyés à l'aide de votre domaine et le pourcentage d'entre eux qui réussissent ou échouent à deux protocoles de sécurité de messagerie importants :
- Sender Protection Framework (SPF), qui spécifie les serveurs et domaines autorisés à envoyer des e-mails au nom de votre organisation.
- Domain Keys Identified Mail (DKIM), qui ajoute une signature numérique à chaque message sortant, permettant aux serveurs de réception de vérifier l'authenticité et l'intégrité du message.
- DMARC recommande les actions que les serveurs de messagerie destinataires doivent entreprendre sur les messages qui échouent aux protocoles ci-dessus :
- Aucun (transmettre le message)
- Quarantaine (envoyer le message dans les spams)
- Rejeter (faire rebondir le message)
Comment activer DMARC
La mise en œuvre de DMARC est un processus. Le rejet immédiat de tous les messages sortants qui échouent à DMARC risque d'interrompre la livraison du courrier critique pour l'entreprise. Par conséquent, nous recommandons aux administrateurs de Google Workspace d'adopter une approche progressive pour introduire et renforcer leur politique DMARC, en analysant les résultats et en surveillant les impacts négatifs à chaque étape du processus.
1. Implémentez SPF et DKIM pour les expéditeurs autorisés
Tout d'abord, assurez-vous que votre organisation a mis en œuvre SPF et DKIM pour le courrier envoyé par les utilisateurs de votre domaine et d'autres expéditeurs autorisés. DMARC indique aux serveurs de messagerie comment gérer les messages qui ne transmettent pas SPF ou DKIM, il est donc crucial de les activer.
2. Créez une adresse e-mail dédiée pour collecter les rapports DMARC
Une fois votre politique DMARC en place, vous recevrez des rapports des serveurs de messagerie des destinataires. Au lieu d'inonder votre messagerie, créez un référentiel dédié, tel qu'un groupe Google.
- Connectez-vous à la console d'administration Google
- Accédez à Répertoire > Groupes > Créer un groupe
- Entrez DMARC dans le nom du groupe, dmarc dans l'e-mail du groupe et ajoutez une description si vous le souhaitez. Ignorez le propriétaire du groupe et l’étiquette de sécurité. Cliquez sur Suivant.
- Définissez tous les paramètres d'accès sur Propriétaires du groupe, sauf Qui peut publier : Externe. Définissez qui peut rejoindre le groupe sur Uniquement les utilisateurs invités. N'autorisez pas les membres extérieurs à votre organisation. Cliquez sur Suivant, Créer un groupe, Terminé, Voir les paramètres du groupe, puis sur Paramètres avancés.
- Sous Politiques de publication, modifiez Qui peut joindre des fichiers à N'importe qui sur le Web.
3. Mettre en œuvre une politique DMARC initiale (permissive)
Votre politique DMARC conseille les serveurs de messagerie destinataires sur la manière de gérer les messages qui échouent avec SPF ou DKIM et sur l'endroit où envoyer les rapports. Commencez par une politique permissive pour éviter de perturber le flux de messagerie :
v=DMARC1; p=none; rua=mailto:[email protected]
Au fur et à mesure que vous obtenez des informations sur les rapports DMARC et que vous garantissez SPF et DKIM pour tous les expéditeurs autorisés, resserrez progressivement votre politique de mise en quarantaine, et éventuellement de rejet, des messages provenant d'expéditeurs non autorisés.
4. Analyser les rapports DMARC
Les rapports DMARC quotidiens vous aideront à comprendre :
- Quels serveurs et domaines envoient du courrier depuis votre domaine
- Quel pourcentage de messages passent DMARC (SPF et DKIM)
- Quels serveurs et domaines échouent DMARC (SPF et DKIM)
Des outils comme celui de DMARCian Convertisseur XML en humain peut aider à analyser les rapports. Sur la base de votre analyse, ajustez les paramètres SPF et DKIM pour tous les expéditeurs autorisés avant de renforcer votre politique DMARC.
5. Mettre en quarantaine certains, puis davantage et éventuellement tous les messages non autorisés
Renforcez progressivement votre politique DMARC en modifiant l'enregistrement DMARC dans la console DNS de votre registraire de domaine :
v=DMARC1; p=quarantine; pct=10; rua=mailto:[email protected]
Surveillez les impacts négatifs, analysez les rapports DMARC et ajustez les paramètres SPF et DKIM si nécessaire. Augmentez le pourcentage de messages mis en quarantaine jusqu'à ce qu'il atteigne 100 %.
6. Rejeter les messages provenant d'expéditeurs non autorisés
Enfin, rejetez les messages provenant d’expéditeurs non autorisés :
v=DMARC1; p=reject; rua=mailto:[email protected]
Les serveurs de messagerie des destinataires remplacent rarement les politiques DMARC. Désormais, votre organisation est protégée contre les abus des expéditeurs non autorisés usurpant votre domaine.
Toutes nos félicitations! 🥳 Votre domaine est désormais sécurisé contre l'usurpation d'e-mails et le spam.
