Deliverability
La perspective de DMARC : protéger vos envois à l’ère d’exigences plus strictes
Le monde de l’email connaît un changement majeur. Google et Yahoo ayant récemment renforcé les exigences en matière de DMARC, de nombreuses organisations doivent mettre en œuvre DMARC sous peine de voir leurs emails rejetés. Nous avons pensé qu’il serait judicieux de prendre du recul par rapport à la perspective de Gmail et Yahoo, et d’examiner les avantages et les raisons d’imposer DMARC du point de vue de ses plus grands défenseurs.
Qu’est-ce que DMARC et pourquoi est-ce important ?
Commençons par les bases. Le protocole DMARC (Domain-based Message Authentication, Reporting and Conformance) est une politique d’authentification des emails et un protocole de rapport. DMARC authentifie les emails et l’identité de l’expéditeur et prouve que les messages proviennent d’une source légitime autorisée par votre domaine.
Cela aide à combattre une menace grandissante : l’usurpation d’emails. Dans l’usurpation d’email, les pirates utilisent une adresse d’expédition falsifiée pour se faire passer pour des entités de confiance, trompant ainsi les destinataires pour qu’ils cliquent sur des liens malveillants ou révèlent des informations sensibles. Voici les composants de base de DMARC :
- Authentification : DMARC s’appuie sur des protocoles d’authentification des emails existants tels que SPF (Sender Policy Framework) et DKIM (DomainKeys Identified Mail) pour vérifier la légitimité des emails entrants prétendant provenir de votre domaine.
- Rapport : DMARC indique aux services de messagerie (comme Gmail ou Yahoo Mail) comment traiter les emails qui échouent aux contrôles d’authentification. Cela vous permet de recevoir des rapports sur les éventuelles tentatives d’usurpation et de suivre l’utilisation non autorisée de votre domaine.
- Conformité : DMARC vous permet de définir votre action préférée pour les emails non authentifiés : « reject », « quarantine » ou « none » (rapport uniquement). Cela vous permet de prendre le contrôle de votre réputation email et de protéger vos utilisateurs des attaques d’hameçonnage, comme le souligne Kate Nowrouzi dans cette vidéo.
Politiques DMARC
DMARC s’appuie sur les capacités d’authentification de SPF et de DKIM, mais va plus loin et permet aux expéditeurs d’indiquer aux serveurs de réception comment ils souhaitent que les messages échouant à l’authentification soient gérés. Cela se fait par la sélection de politiques, avec trois options possibles.
Aucun
La balise p=none n’apporte aucune modification à votre configuration actuelle : le fournisseur de messagerie transmettra le message normalement au destinataire.
Quarantaine
La balise p=quarantine implique d’envoyer les emails non qualifiés dans le dossier spam jusqu’à ce que vous soyez sûr à 100 % de leur provenance.
Rejeter
p=reject est le but ultime de l’adoption de DMARC, et selon nos spécialistes en délivrabilité, c’est vers cela que tend l’avenir des exigences pour les expéditeurs. Bien que la mise en quarantaine soit un bon début, vous ne voulez pas que des emails usurpés restent indéfiniment dans le dossier spam de votre client ; à terme, vous devez adopter une approche plus stricte.
Avant de nous plonger dans l’évolution du paysage DMARC, découvrez notre podcast Email’s Not Dead et écoutez notre épisode avec Ash Morin de dmarcian.
Le paysage de l’application de DMARC : la donne a changé
Auparavant, Google et Yahoo appliquaient DMARC de manière plus souple. Désormais, avec les nouvelles exigences pour les expéditeurs les choses sérieuses commencent… enfin.
« Nous avons toujours voulu une bonne organisation. Nous avons encouragé l’adoption de DMARC par le système de la carotte. BIMI était l’une de ces carottes, tout comme des primes d’assurance cybersécurité plus basses, la délivrabilité, la sécurité… mais lorsque des entreprises comme Google et Yahoo vous disent : “Vous feriez bien de le faire”, tout le monde écoute. »
De quelles exigences pour les expéditeurs parle-t-on ?
En octobre 2023, Google et Yahoo ont annoncé qu’ils allaient appliquer quelques exigences clés pour les expéditeurs y compris l’adoption de DMARC pour les expéditeurs en masse. C’est alors que la première vague de confusion et de questions de la part des expéditeurs est apparue. Mon entreprise est-elle concernée ? Fais-je des envois en masse ?
La grande question : faites-vous des envois en masse ?
Faites-vous, oui ou non, des envois en masse ? On se croirait presque dans un interrogatoire, et de nombreux expéditeurs se reconnaissent sans doute dans ce sentiment d’être sur la sellette face à ces exigences. Voici donc ce qu’il en est : Google définit les expéditeurs en masse comme ceux qui envoient 5 000 emails sur une période de 24 heures. Cela semble assez clair.
La définition de Yahoo, en revanche, ne comporte volontairement aucun chiffre. Et cela se résume à ceci : si vous pensez faire des envois en masse, c’est que vous en faites.
« Le nombre n’est pas 5 000, 6 000 ou 4 000. Si vous envoyez 4 999 messages, vous devez quand même respecter les exigences. Si vous envoyez le même email à un grand nombre de personnes, vous êtes un expéditeur en masse. »
Les défis liés à l’adoption de DMARC
La question suivante se pose donc. Si DMARC est si efficace pour valider l’identité de l’expéditeur et protéger les boîtes de réception des utilisateurs, pourquoi les expéditeurs ne l’ont-ils pas adopté plus massivement ? La réponse est double. Sa mise en œuvre est à la fois plus coûteuse que des authentifications comme SPF et DKIM, et plus exigeante sur le plan technique, avec des défis qui varient selon la taille de votre organisation. Voici quelques-uns des défis majeurs :
- Shadow IT : dans les environnements informatiques complexes, l’identification de toutes les sources d’emails au sein de l’organisation peut s’avérer difficile. Le « shadow IT », où certains départements utilisent des services d’emailing non autorisés en dehors du contrôle du service informatique central, peut rendre la mise en œuvre de DMARC difficile. Pour y remédier, réalisez un audit complet de toutes vos sources d’envoi d’emails avant de déployer vos politiques DMARC.
« Pour les grandes entreprises, la difficulté réside principalement dans le shadow IT, ce qui signifie que les unités commerciales au sein de l’organisation ont des besoins individuels en matière de services. Elles achètent donc des systèmes pour des tâches telles que la gestion des avantages sociaux, qui envoient des rapports chaque mois. Le service y parvient en usurpant essentiellement le domaine de l’organisation, de manière légitime, mais ce type de source d’emails peut compliquer l’alignement DMARC. »
- Dépendances à l’égard des tiers : de nombreuses organisations s’appuient sur des services d’emailing tiers (ESP) pour leurs campagnes marketing ou leurs emails transactionnels. Il est essentiel de coordonner la mise en œuvre de DMARC avec votre service d’emailing. Malheureusement, tous les services d’emailing n’offrent pas encore un support complet de DMARC. Pour y remédier, demandez le support de DMARC à votre service d’emailing et envisagez de migrer vers un fournisseur qui accorde la priorité à une livraison sécurisée des emails.
- Communication interne et gestion du changement : la mise en œuvre de DMARC nécessite une collaboration entre plusieurs départements, notamment l’informatique, le marketing et le support client. Pour y remédier, mettre en place une communication interne claire sur les changements et leurs avantages pour la sécurité des emails et la réputation de marque est essentiel pour un déploiement fluide.
La mise en œuvre de DMARC peut s’avérer complexe, et c’est pourquoi des fournisseurs comme dmarcian, et même des services d’emailing comme nous doivent être prêts à parler de DMARC à tous les niveaux. Les défis liés à la mise en œuvre varient en fonction des particularités de votre organisation.
Bonnes pratiques pour réussir la mise en œuvre de DMARC
Maintenant que les défis ont été identifiés, comment garantir un déploiement réussi de DMARC ? Voici quelques bonnes pratiques pour vous guider :
- Commencez petit, puis développez-vous : commencez par mettre en œuvre DMARC avec une politique « p=none » (rapport uniquement) sur un sous-domaine que vous contrôlez entièrement. Surveillez les rapports que vous recevez pour comprendre le paysage des envois au sein de votre organisation et identifier toute tentative d’usurpation potentielle. Étendez progressivement la mise en œuvre de DMARC à d’autres sous-domaines à mesure que vous gagnez en confiance.
« Si vous n’avez pas encore DMARC, p=none est la première étape. Et c’est également le minimum exigé par Google et Yahoo. »
- La segmentation est votre alliée : segmentez vos efforts en matière d’email marketing. Envoyez vos emails de marketing depuis un sous-domaine dédié à ces campagnes, et vos emails transactionnels depuis un domaine distinct. Cela vous permet d’isoler les problèmes potentiels liés aux emails de marketing sans impacter les emails transactionnels envoyés depuis votre domaine principal.
« Une stratégie de segmentation et la segmentation de votre flux d’emails sont très importantes pour diverses raisons. La sécurité en fait partie. »
- Défendez l’adoption de DMARC : si votre service d’emailing ne prend pas en charge DMARC, soulignez l’importance de cette mesure de sécurité et encouragez-le à donner la priorité à son intégration. Envisagez d’explorer d’autres services d’emailing offrant des fonctionnalités DMARC robustes.
- Demandez l’avis de spécialistes : la mise en œuvre de DMARC peut être complexe, en particulier pour les grandes organisations. N’hésitez pas à demander l’aide de spécialistes DMARC ou de consultants et consultantes en sécurité qui pourront vous guider tout au long du processus.
Conclusion
Il y a deux choses que vous devez faire pour mener à bien ce processus DMARC. La première consiste à vous assurer d’appliquer les bonnes pratiques d’envoi. Par exemple, une l’hygiène de la liste et bonne segmentation. Ces et la maîtrise des bases de la délivrabilité vous aideront à garder vos sources d’emails organisées et optimisées, ce qui facilitera la gestion de DMARC.
La seconde consiste à trouver des ressources solides afin de pouvoir résoudre les problèmes en cas de besoin. Les ressources seront vos meilleures alliées pour appréhender l’adoption de DMARC. Nous avons inclus des liens vers d’excellentes ressources tout au long de cet article, mais nous vous invitons également à consulter dmarcian.com et leur onglet de ressources pour les expéditeurs. Ce sont les spécialistes de DMARC et ils ont rassemblé tout ce que vous devez savoir.
Nous couvrons les changements liés à Yoogle depuis un certain temps déjà, et nous avons d’excellentes informations concernant les exigences. Découvrez notre discussion au coin du feu avec Google et Yahoo pour en savoir plus, directement de la part de ces fournisseurs de messagerie.
