Quelqu'un envoie des mails en ton nom : SPF, DKIM et DMARC en langage clair

Un client appelle : 'J'ai reçu une facture de votre part avec un autre numéro de compte, c'est correct ?' Tu n'as rien envoyé. Pourtant, ton nom et ton adresse e-mail apparaissent comme expéditeur. Cela arrive chaque semaine à des PME, et le plus ennuyeux, c'est que tu l'apprends généralement par le destinataire. Dans cet article, nous expliquons ce qui se passe, pourquoi trois réglages techniques (SPF, DKIM et DMARC) l'empêchent en grande partie, et comment vérifier si tout est en ordre chez toi. Sans connaissances techniques.

Spoofing ou piratage ? Deux problèmes différents

D'abord la distinction, car l'approche diffère.

• Spoofing : quelqu'un falsifie l'adresse de l'expéditeur. Tout comme tu peux écrire n'importe quel nom comme expéditeur sur une lettre, un attaquant peut envoyer un mail avec ton adresse dessus sans jamais être entré dans ta boîte mail. Tes systèmes ne sont pas piratés. C'est le serveur de messagerie du destinataire qui doit bloquer cela, et il ne le peut que si tu lui as dit ce qui vient de toi et ce qui n'en vient pas.
• Boîte mail piratée : quelqu'un a ton mot de passe et se connecte réellement à ton compte. Les mails partent alors vraiment de ta boîte, souvent après des semaines de lecture discrète. C'est plus grave. Dans ce cas, lis tout de suite reconnaître le phishing et que faire si quelqu'un a cliqué.

Comment voir la différence : regarde dans ton dossier 'Éléments envoyés' et dans l'historique des connexions de ton compte. Si tu n'y vois rien d'étrange, c'est probablement du spoofing. Si tu vois des connexions inconnues ou des règles qui transfèrent le courrier, c'est un piratage et tu changes immédiatement ton mot de passe.

SPF, DKIM et DMARC en langage clair

Ces trois-là sont des réglages sur ton nom de domaine, la partie après le @. Ils fonctionnent ensemble, et chacun fait une seule chose.

SPF est la liste de qui peut envoyer du courrier en ton nom. Tu dis au monde : 'les mails de monentreprise.be viennent de Microsoft 365, de notre outil de newsletter et de notre logiciel comptable. Tout le reste n'est pas de nous.' Un serveur destinataire vérifie cette liste.

DKIM est la signature sur la lettre. Chaque mail que tu envoies reçoit une signature numérique que seul ton système de messagerie peut apposer. Le destinataire vérifie si la signature est valable et si rien n'a été modifié dans le mail en cours de route.

DMARC est l'instruction pour le destinataire : que doit-il faire si SPF ou DKIM ne concorde pas ? Rien (none), mettre en spam (quarantine) ou refuser (reject). DMARC indique aussi où doivent aller les rapports, pour que tu voies qui essaie d'envoyer des mails en ton nom.

Pourquoi cela touche aussi ta propre délivrabilité

Il ne s'agit pas seulement d'attaquants. Les grands fournisseurs de messagerie posent des exigences de plus en plus strictes à ceux qui leur envoient du courrier. Sans SPF, DKIM et DMARC corrects, tes propres devis et factures finissent plus souvent en spam, ou n'arrivent tout simplement pas. Tu ne le remarques pas, car personne ne te le signale. Tu remarques seulement que des clients 'n'ont rien reçu'. Si tu envoies des newsletters ou des mails à beaucoup de destinataires à la fois, c'est aujourd'hui une condition, plus une option.

Comment vérifier si tout est en ordre chez toi

Tu n'as pas besoin de plonger là-dedans toi-même. Deux options.

• Il existe des vérifications en ligne gratuites où tu saisis ton nom de domaine et qui montrent immédiatement si SPF, DKIM et DMARC sont présents et corrects. Cherche 'DMARC check' et tu en trouveras plusieurs.
• Demande à ton partenaire IT. Cette vérification prend dix minutes. Si ton partenaire ne sait pas de quoi tu parles, c'est déjà une réponse en soi.

Ce que tu veux voir : SPF présent sans erreurs, DKIM actif pour ton système de messagerie, et DMARC au moins sur quarantine avec une adresse de rapport que quelqu'un consulte réellement.

Les erreurs fréquentes

• Un outil qui envoie des mails en ton nom et qui n'est pas dans SPF. L'outil de newsletter, le logiciel comptable qui envoie les factures, la boutique en ligne, le programme de planning. Chacun doit figurer dans la liste, sinon c'est précisément ce mail-là qui est refusé.
• Laisser DMARC sur 'none' pendant des années. Le destinataire vérifie alors, mais n'en fait rien. Tu es aussi vulnérable que sans DMARC.
• Des rapports qui vont vers une boîte que personne ne regarde.
• Oublier plusieurs domaines. L'ancien domaine que tu possèdes encore, le .com à côté du .be, le domaine de l'ancien nom commercial. Tout ce que tu possèdes et depuis lequel tu n'envoies pas de mails, tu le mets explicitement sur 'personne ne peut envoyer de mails avec ceci'.

Plan par étapes

1. Fais l'inventaire de qui envoie des mails en ton nom. Dresse la liste de chaque service qui envoie du courrier avec ton adresse. Demande à ton comptable et à la personne qui fait le marketing, ils en savent souvent plus que toi.
2. Configure SPF et DKIM correctement pour chacun de ces services. C'est une heure de travail pour ton partenaire IT, à condition que la liste soit complète.
3. Mets DMARC en monitoring (none) avec une adresse de rapport. Pendant quelques semaines, tu vois tous ceux qui envoient des mails en ton nom, y compris les services que tu avais oubliés.
4. Après quelques semaines, durcis vers quarantine puis vers reject. À partir de là, un mail falsifié avec ton adresse est refusé par chaque destinataire qui respecte DMARC.
5. Mets l'adresse de rapport dans l'agenda : à consulter une fois par trimestre.

Si de fausses factures à ton nom circulent déjà aujourd'hui, lis aussi fraude à la facture : éviter un faux numéro de compte. Le spoofing est souvent la technique derrière la fausse facture.