Présentation
00:00:30 – Ash est de retour. De retour !
00:01:05 – D’accord, l’annonce a donc été faite, l’ai-je bien configuré ?
00:03:12 – Mais ces normes sont-elles nouvelles ?
00:18:34 – N’oubliez pas la segmentation
00:00:05
Eric Trinidad : Bienvenue dans Email’s Not Dead. Je m’appelle Eric et voici JT.
00:00:08
Jonathan Torres : Bonjour.
00:00:09
Eric Trinidad : Bonjour
00:00:09
Jonathan Torres : JT. Nous échangeons nos noms. J’aime bien ça. JT.
00:00:12
Eric Trinidad : Ouais, mon vieux.
00:00:12
Jonathan Torres : Pour innover.
00:00:13
Eric Trinidad : Ouais. Nous essayons d’apporter du nouveau. Nouvelle année, nouveau nous. Nous sommes un podcast fait par des Email Geeks pour des Email Geeks et nous sommes ravis de recevoir un invité formidable. Un invité qui est de retour parmi nous. Ash Morin, directeur du déploiement chez dmarcian. Ash, comment allez-vous, monsieur ?
00:00:30
Ash Morin : Bien, comme toujours. Merci de m’avoir invité.
00:00:32
Eric Trinidad : Oh, merci d’être de retour. Ouais. Vous devez aimer souffrir car c’est votre troisième participation.
00:00:36
Ash Morin : Vous savez, la troisième fois est la bonne. Si les deux premières n’ont pas suffi, je suppose que cette fois nous allons faire un carton.
00:00:42
Eric Trinidad : Nous visons les sommets ici. Vous savez, donc, je suis super content de vous revoir. Vous savez, cette saison, nous avons beaucoup parlé de ce qui se passe avec Google et Yahoo et de la façon dont tout le monde se prépare. Beaucoup d’enthousiasme, tout le monde est assez effervescent par rapport aux changements en cours et, vous savez, avez-vous vu quelque chose de ce genre de votre côté ?
00:01:05
Ash Morin : Oui, cela a été plutôt rapide. Immédiatement après l’annonce, nous avons commencé à recevoir beaucoup de questions. Non seulement des questions de notre base de clients existante, mais aussi dans les écosystèmes. Sur toutes les listes de diffusion auxquelles je participe, il y a eu beaucoup de ‘qu’est-ce que cela signifie ?’. Et on en est venu presque immédiatement à se demander : ‘d’accord, cela change-t-il quelque chose aux normes ?’. Si ce n’est pas le cas, quelle est ma situation actuelle ? Suis-je vraiment en règle ? Même les organisations qui se disaient, oui, nous avons déployé DMARC, nous sommes passés à reject il y a des mois. Suis-je vraiment prêt ? Tout le monde se demande donc : sommes-nous vraiment prêts ?
00:01:37
Jonathan Torres : Il a fallu attendre ce moment pour que les gens se disent, d’accord, maintenant je dois faire quelque chose et m’assurer que je suis totalement configuré et prêt. Ce qui est, vous savez, l’une de ces choses, je pense. Il y aura toujours des gens, moi y compris bien souvent, où, vous savez, on attend d’être un peu poussé pour faire quelque chose. Vous savez, ce n’est pas le cas pour tout ce que je fais, ni pour tout ce que tout le monde fait, mais je sais qu’il y a certainement des choses pour lesquelles on se dit qu’il faut un petit coup de pouce pour se lancer. Je suis donc sûr que dès que c’était en place, c’est prêt. D’accord. C’est parti. Combien de questions pouvons-nous poser ?
00:02:07
Ash Morin : C’est absolument vrai. Le fait est que. Nous avons toujours voulu beaucoup d’organisation, devrais-je dire. Pousser DMARC lorsqu’il y avait une carotte au bout du bâton. Ouais. BIMI en faisait partie. Une baisse de la prime de l’assurance en cybersécurité en était une autre. Moins le côté, je ne veux pas que mon domaine soit usurpé, mais je peux économiser de l’argent. Faisons-le. Donc, et bien sûr la délivrabilité en était une autre, la sécurité était presque un troisième, quatrième, cinquième sujet de discussion. Mais maintenant nous avons de grands acteurs dans ce domaine, Google, Yahoo et pour Yahoo parfois on a l’impression, Yahoo ? Est-ce vraiment un acteur majeur du secteur ? Absolument. Leur infrastructure d’emails est partout, et ils sont le plus grand émetteur de rapports DMARC de l’industrie. Ils sont massifs. Donc, quand vous avez, vous savez, un nom comme Google et Yahoo qui dit, vous avez intérêt à faire cela sinon je vais fermer mes portes. Oui, les gens écoutent.
00:02:54
Eric Trinidad : Ouais. Les gens ont tendance à se redresser et à se dire : oh, qu’est-ce que nous devons réellement faire ? Vous savez, c’est un club sympa. Je veux faire partie de ce club dans lequel on peut entrer, vous savez ?
00:03:03
Ash Morin : Mm-Hmm.
00:03:03
Eric Trinidad : De votre point de vue, lorsque vous avez appris ce qui s’était passé, quelles ont été les principales choses que vous avez voulu vérifier en premier ? Que devaient faire les gens pour s’aligner ?
00:03:12
Ash Morin : Eh bien, je me demandais surtout s’ils faisaient quelque chose de nouveau avec les normes existantes. Parce qu’il a fallu des années pour que les gens comprennent enfin non seulement la norme, mais l’implémentent en tant qu’expéditeur. Ainsi que les destinataires. Les destinataires, vous savez, respectant les rapports, le calendrier de ces rapports, l’action appropriée à entreprendre lorsqu’une politique est appliquée. Correctement, vous savez, avoir l’alignement, respecté. Maintenant, les expéditeurs devaient apprendre ce que cela signifiait. Et puis, quand nous disons expéditeurs, nous ne parlons pas seulement, vous savez, du propriétaire de domaine qui configure Microsoft ou Google ou n’importe quel système d’emails d’entreprise que vous utilisez. Vous avez également beaucoup d’autres systèmes, de vendeurs et de fournisseurs de services tiers qui vont envoyer en votre nom. Qu’est-ce que cela signifie pour eux et pour ce secteur ? Par exemple, Mailgun est très important pour comprendre comment rendre DMARC accessible à mes clients et aussi comment lui offrir un support jusqu’à un certain point. Cela a été, vous savez, une réussite, jusqu’à un certain point. En ce qui concerne les responsabilités des tiers vis-à-vis de DMARC, et maintenant nous allons en attendre encore plus d’eux, les clients qui doivent déployer DMARC pour être conformes, surtout si l’expéditeur en masse ne cherche pas seulement un support en interne. Ils vont se tourner vers l’extérieur pour solliciter tous ces tiers et lorsqu’ils le feront, Hé, votre système est-il prêt ? C’est donc une question que tout le monde se pose effectivement, tout le monde. C’est vrai. Ils demandent à leurs administrateurs informatiques des emails : sommes-nous prêts ? Ils demandent ensuite à leurs télévendeurs ou à leurs e-marketeurs : sommes-nous prêts ? Et puis à votre tour, vous savez, vous allez demander à Mailgun : Hé, sommes-nous prêts ? Par exemple, comment nous assurons-nous que notre configuration chez vous est bien exacte ? Aussi ? Sommes-nous un expéditeur de masse ? Qu’est-ce que cela signifie ? Comment puis-je vérifier cela ? Et bien sûr, de nombreux outils sont disponibles pour cela. Dans l’ensemble, oui, les gens posent beaucoup de questions à beaucoup de monde. Mais au bout du compte, nous sommes tous d’accord sur une chose. D’accord, j’ai besoin de DMARC. Vous savez, c’est la première étape dont j’ai besoin, DMARC, par où dois-je commencer ? Et ceux qui ont déjà un enregistrement, vous savez, qui ont publié un enregistrement dans leur DNS il y a très longtemps, qui est resté à p=none parfois pendant des années. Maintenant, ils réalisent qu’ils doivent vraiment examiner leurs données et comprendre ce que tout cela signifie.
00:05:29
Jonathan Torres : C’est amusant, l’une des choses que vous avez dites fait partie de celles sur lesquelles je reviens sans cesse et qui me reviennent à l’esprit. Et comme je l’entends, c’est une question constante pour moi venant de ceux qui demandent : suis-je un expéditeur de messages en masse ? Vous savez, est-ce que je rentre dans cette catégorie ? Et je, je pense que c’est une question assez pertinente parce que je pense, vous savez, qu’il y aura certainement des personnes impactées qui se trouvent dans la catégorie des expéditeurs de messages en masse. Certains d’entre eux ne savent pas qu’ils sont dans la catégorie des expéditeurs de messages en masse, mais en même temps, j’ai l’impression que c’est la mauvaise question à poser. C’est plutôt, vous savez, que dois-je faire pour commencer à me préparer à ces changements ? Et pas seulement pour ce changement en particulier, mais pour tout changement futur qui viendra par la suite. Parce que j’ai l’impression que c’est, vous savez, la chute du premier domino, nous avons tous été préparés. Cela a été la carotte au bout du bâton pendant longtemps, nous avons appliqué la méthode de la carotte, nous avons dit, hé, faites cela pour votre propre bénéfice et non, Hé, cela va devenir une exigence pendant très, très longtemps, comme vous venez de le dire. Et la question de savoir si je suis un expéditeur de masse ? Est tout à fait pertinente. Super. Posez-la si nécessaire, mais pensez aussi à aller au-delà, passez à autre chose de manière à vous dire : Hé, laissez-moi simplement faire ça. Que je sois transactionnel, vous savez, marketing, en masse, expéditeur, vous savez, ou que je me situe quelque part au milieu. S’il y a la moindre question du type est-ce que cela m’est bénéfique ? Oui, à cent pour cent. Cela vous est bénéfique lorsque vous essayez d’authentifier vos emails, en vous assurant que les choses sont bien configurées, et faites-le, commencez à avancer dans cette direction pour y parvenir. Mais oui, c’est drôle à quel point cette question revient. Elle revient très souvent.
00:06:50
Ash Morin : Pour de bonnes raisons. Mais oui, vous avez tout à fait raison quand il s’agit de le faire de toute façon. Il y a une raison pour laquelle on appelle cela les bonnes pratiques. C’est la raison pour laquelle il y a tant de documents sur ce sujet concernant l’authentification de vos emails, le déploiement de DMARC. Soyez conforme, soyez aligné chaque fois que possible. Comme ces bonnes pratiques, lorsqu’il s’agit des domaines d’envoi d’emails, c’est bien documenté. Il y a des tonnes de choses à suivre, des tonnes de références disponibles pour permettre aux propriétaires de domaines de commencer leur démarche quelque part s’ils ont l’impression de débuter, ou de continuer et de mettre de l’ordre dans l’ensemble de leur système et de leur environnement. Mais il y aura toujours des gens pour demander à juste titre : qu’est-ce qu’un expéditeur de masse ? Et c’est une question que vous devez poser individuellement à Google et Yahoo. Parce que Google, en ce moment, dit : eh bien, si vous envoyez près de ou plus de 5 000 messages vers un compte Gmail personnel au cours d’une période de vingt-quatre heures. Mais ensuite ils commencent aussi à dire. Que tous les emails provenant des domaines primaires comptent. Nous disons donc que si vous avez, vous savez, Exemple.com qui envoie des emails, et que vous avez ventes.exemple.com qui envoie des emails. Ils ne constituent pas une entité distincte, ce ne sont pas des expéditeurs distincts. Vous savez, ils sont considérés comme étant les mêmes. Donc, si 2 500 envois proviennent de l’un, et 2 500 de l’autre, c’est le seuil des 5 000 dont ils parlent. C’est une chose. Ensuite, Yahoo est un peu plus vague. Yahoo dit, eh bien, un expéditeur en masse est classé comme envoyant un volume important qui n’est pas quantifié davantage. C’est tout ce que nous avons. Et puis ils disent aussi : le spam envoyé à partir de votre domaine compte également. Ce dont nous parlons, c’est que le domaine utilisé pour l’envoi, qu’il soit légitime ou non, compte dans ce volume. C’est un aspect, qui est vrai, mais qui semble un peu drôle. Ils disent bien que si vous avez un problème d’usurpation, vous devriez de toute façon avoir implémenté DMARC. Absolument vrai. Ouais. C’est vrai. Mais en même temps, encore une fois, c’est vague. Cela donne donc encore plus de crédit à ce que vous avez mentionné plus tôt, JT : en tant que bonne pratique, implémentez DMARC ! Si vous suivez ce parcours. Si vous vous lancez dans un projet de déploiement, que vous réglez les problèmes de vos domaines, vous savez, alors il y a de fortes chances que vous ne soyez pas impacté ou que l’impact soit grandement minimisé par rapport à un changement que nous devrions observer le mois prochain.
00:09:08
Jonathan Torres : Ça arrive vite. Ça approche très vite. C’est l’une de ces choses pour lesquelles nous avons eu le temps. De mon point de vue, n’est-ce pas, où j’ai été impliqué dans le secteur, travaillant avec les clients pour faire ce genre de choses, pour appliquer ces bonnes pratiques et pour arriver à de meilleures positions d’envoi d’emails, simplement, vous savez, en le faisant. Il y a certainement eu beaucoup d’attention portée sur : comment dois-je m’y prendre ? Que dois-je envoyer, que ne dois-je pas envoyer ? Comment acquérir une liste correctement ? Comment acquérir mes expéditeurs correctement ? Vous savez, que faisons-nous pour les opt-outs ? Mais cela a toujours été un aspect dont nous avons parlé avec les personnes qui envoient : vous devez vous assurer de ne pas subir d’usurpation. Il y a des dangers à ce que cela se produise en soi, n’est-ce pas. Avant que nous, que nous n’abordions toute autre partie de la conversation, il y a des acteurs malveillants, et ces acteurs malveillants seront là à faire les choses malveillantes qu’ils font. Et, vous savez, il y a une limite à ce que vous pouvez faire pour vous protéger. Et si, si nous faisons cette partie comme strict minimum, c’est déjà extrêmement utile. Et vous savez, c’est pour aller au-delà de cette conversation. Et maintenant nous le ressentons de ce côté où c’est la course pour, hé. Maintenant, ce n’est pas un choix. Par exemple, si vous faites cela, si vous voulez vous assurer de ne pas être pris là-dedans, et que vos messages ne soient pas rejetés. Nous devons nous assurer que tout cela est, est fait. D’après l’expérience que j’ai eue, comme avec les systèmes avec lesquels j’ai travaillé, l’authentification a toujours été la première étape. C’est ainsi que nous vérifions les domaines, SPF, DKIM, nous configurons cela d’abord, ce qui nous permet de dire facilement : d’accord, vous possédez le DNS. Vous insérez évidemment ces enregistrements pour dire, hé. Je possède ceci. Et j’envoie à partir de cela. Implémenter DMARC, c’est maintenant un peu le saut suivant, l’étape au-delà de cela. Mais je sais qu’il y a aussi beaucoup de gens qui n’ont pas ce luxe dans la configuration de leur service d’emailing, qui n’ont jamais eu à faire cela dans la configuration de leur service d’emailing. Quelle a été l’expérience, je suppose, de votre côté et qu’avez-vous vu, et que disent les gens sur les défis auxquels ils sont confrontés quant à l’endroit d’où ils envoient des emails ?
00:10:48
Ash Morin : Eh bien, c’est un spectre assez large parce que nous avons, comme vous dites, des personnes qui ont un profil technique. Elles gèrent une organisation relativement grande, elles ont donc des processus en place. Elles ont une liste assez bien cataloguée de tous les fournisseurs et technologies qu’elles utilisent pour les emails. Et elles ne savent toujours pas très bien comment naviguer dans cette véritable jungle des emails. Leur écosystème. Ouais. En ce qui concerne l’authentification, parce que chaque élément est un peu différent. C’est donc là leur défi. Leur défi n’est pas la partie domaine. Donc, l’aspect de la vérification de domaine, c’est de savoir qui utilise quoi et dans quel but veulent-ils les maintenir autorisés ? Et aussi comment ce service d’emailing offre-t-il réellement un support pour DMARC ? Par exemple, Mailgun proposera un support pour cela d’une certaine manière, dans un mode en libre-service très spécifique où les administrateurs peuvent configurer l’authentification dans leur compte. Et puis, vous savez, d’autres le feront de manière très différente, mais vous devrez quand même trouver un administrateur. Dans la plupart des organisations, ces comptes ne seront pas nécessairement gérés par le service informatique ou la cybersécurité. C’est donc là leur défi. À l’autre bout du spectre, nous avons peut-être un petit cabinet d’avocats composé de trois personnes qui a externalisé, ou qui a potentiellement un MSP qui gère tout ce qui concerne leur serveur d’emails, l’hébergement de leur domaine et l’administration de leur WordPress, l’administration de leurs emails, ce qui fait peut-être même partie de la formule d’hébergement de domaine qu’ils ont achetée. Or, assurément, ils entendent dire qu’ils ont besoin de DMARC. Ils ne comprendront pas ce que cela signifie. Vous savez, pour autant qu’ils sachent, DMARC est un produit spécifique, très concret, qu’ils peuvent simplement acheter et pour lequel il suffit de basculer quelques interrupteurs pour que ce soit fait, comme ajouter un module ou activer une nouvelle fonctionnalité dans Microsoft. N’est-ce pas ? Ils, ils n’en savent pas plus, et nous ne pouvons pas nous attendre à ce qu’ils en sachent plus. Parce que ce n’est pas leur travail, vous savez, et à leurs avocats ou à leur secrétaire ou à leur spécialiste en saisie de données ou à n’importe qui d’autre, on dit soudain : Hé, j’ai besoin que vous trouviez comment faire marcher ça. Et c’est un défi, car nous devons être préparés à expliquer ce qu’est DMARC à tous les niveaux. Et c’est là que nous avons, vous savez, des services, allant des services professionnels jusqu’à notre assistant dmarcian, où c’est comme, hé, allons-y étape par étape si vous avez besoin d’un enregistrement valide. Parce que vous n’en avez pas encore. Vous dites que vous avez besoin de DMARC. Eh bien, c’est juste un ensemble de balises. C’est juste une suite de textes écrite d’une façon très curieuse. Et afin de comprendre comment c’est rédigé. Répondez à ces questions dans notre assistant. Je vais produire un enregistrement, et ensuite nous vous indiquerons où il doit aller en fonction de l’endroit où les domaines sont hébergés. Au moins, les mettre dans une situation où ils se sentent plus confiants quant au fait qu’ils peuvent réellement avancer avec cela, et que ce n’est plus ce mur de non-sens ésotérique auquel ils souhaiteraient vraiment ne pas avoir affaire.
00:13:20
Eric Trinidad : Ouais. Je sais que lorsque JT et moi discutons avec plusieurs de nos clients, c’est le premier endroit vers lequel nous dirigeons les clients, par exemple, lorsqu’ils parlent de DMARC ou veulent obtenir plus d’informations à ce sujet, vous savez, c’est facile, il suffit d’entrer les données, de vérifier votre domaine, de voir si ça passe, et si ce n’est pas le cas, quelles sont les étapes dont vous avez besoin pour avancer, ce qui est, vous savez, vraiment génial. Vous savez, c’est très attrayant visuellement et ça aide les gens, même comme moi, à parcourir cela très rapidement et à comprendre : quelles sont les prochaines étapes à réaliser ? Je pense que c’est un excellent outil.
00:13:53
Ash Morin : C’est très intéressant, car il y a des organisations plus petites, comme des PME, qui externaliseront leurs besoins techniques à un MSP. Généralement, ils arriveront de toute façon à un point où DMARC sera pour eux plus simple et abordable. Car ce sera en grande partie un défi technique, étant donné qu’ils auront très peu de sources d’emails, potentiellement une ou deux, peut-être un système marketing, peut-être un système de notification RH, puis leur email principal et c’est tout. Donc, mettre de l’ordre dans tout cela sera probablement relativement simple pour des personnes qui, par ailleurs, ne sont pas techniques. D’un autre côté, si nous revenons au niveau de l’entreprise, leur défi ne se situera pas au niveau technique. Car elles ont l’habitude d’apprendre de nouvelles choses. Elles liront la norme, elles liront potentiellement même le RFC brut et elles diront, d’accord, je comprends. Elles comprendront ce à quoi elles peuvent s’attendre concernant la façon dont les choses devraient se comporter. Puis de lire la documentation système par système. Leur défi, c’est principalement le shadow IT, et par là j’entends les unités commerciales au sein de leurs organisations qui, vous savez, ont un besoin pour que leur unité commerciale remplisse sa fonction. Elles vont donc acheter un système, s’inscrire à leur service, soit parce que le but principal est d’envoyer des emails ou autre chose, comme un fournisseur de prestations qui se trouve envoyer des rapports tous les mois. Et il le fait simplement en usurpant votre domaine de manière légitime, mais il le fait quand même. Maintenant, ils doivent se préoccuper de DMARC. Ils ne veulent pas causer de problèmes à ces flux d’emails. Il doit être livré, mais ils n’ont aucune idée de qui gère ces choses. Ils ne savent pas à qui parler. Et ce n’est pas aussi simple que ‘oh, ça envoie au nom de mon domaine, je vais donc simplement ajouter ces adresses IP à mon enregistrement SPF’. Ce n’est pas si simple. Parce que nous savons que DMARC nécessite un alignement et que la majorité, par défaut, la majorité des fournisseurs de services n’enverront pas en utilisant un chemin de retour. Ce qui constitue votre domaine. Parce qu’ils gèrent le rebond. Maintenant, nous entrons dans les détails, mais c’est ça la gestion du rebond. Et la raison principale pour laquelle SPF ne sera pas aligné par défaut, et il ne le sera pas. L’alignement ne change pas par magie simplement en ajoutant des adresses IP à votre enregistrement SPF. C’est un changement de configuration qui doit s’effectuer au sein du service que vous utilisez. Donc ce que cela signifie, c’est que le libre-service nécessite un administrateur que je dois trouver. Qui est cet administrateur ? Et à ce stade, c’est l’aspect du processus métier du déploiement de DMARC avec lequel ces grandes organisations auront du mal : quel est mon processus de gestion des fournisseurs ? Est-ce correctement catalogué ? Maintenant, nous avons déjà intégré cela auparavant. Y a-t-il une bonne documentation qui m’indique à qui appartient ce matériel ? À qui dois-je parler pour apporter des modifications à l’environnement ? Non seulement cela, mais ils doivent aussi apprendre maintenant : comment puis-je même effectuer un changement ? Par exemple, si un professionnel de l’informatique n’est pas habitué au système Mailgun, il ne saura pas où aller, dans quel panneau se rendre, quels paramètres modifier, comment générer l’enregistrement pour la vérification de domaine. Dois-je configurer un sous-domaine ? Dois-je ne pas le faire ? Est-ce que cela offre un support pour l’alignement direct ? Il y a tellement de questions qu’ils ne connaîtront tout simplement pas sans documentation, sans guide, sans pouvoir voir l’application elle-même. Or, multipliez cela par 20, 30 ou 40 dans les grandes organisations. Ouais. Et ensuite, fois 10, 20, 30 domaines qui envoient potentiellement, puis les sous-domaines. C’est une lourde tâche, donc oui. Tout le monde s’agite pour différentes raisons.
00:17:02
Jonathan Torres : J’aime bien la façon dont vous formulez cela aussi, car c’est une de ces choses où si c’est une plus grande organisation, vous aurez beaucoup plus de défis. Espérons qu’il y ait plus de ressources pour vous en tant qu’expéditeur quand vous avez ces ressources internes. Parce que je veux dire, vous commencez à regarder, vous savez, à chaque fois que vous voyez ces besoins d’emails, le marketing est toujours, j’ai l’impression, l’un des grands expéditeurs dans n’importe quelle organisation, n’est-ce pas ? Le marketing a besoin d’un moyen de faire passer le message sur ce que fait votre entreprise, vous savez, toutes ces choses que, qu’un département marketing normal fait. Mais ensuite vous commencez à regarder, vous savez, tout, depuis, vous savez, les rapports, n’importe quel type d’organisation commerciale, n’importe quelle organisation de recrutement qui utilise ces systèmes pour envoyer des emails de plein de manières différentes. Donc, il y a certainement cela, et avec un peu de chance vous avez les ressources, et je pense, vous savez, avec tous les exemples des différents emplacements, n’est-ce pas ? Les expéditeurs potentiels au sein d’une organisation, espérons que vous avez quelques idées sur les personnes que vous devrez contacter. Espérons que vous obteniez des idées sur les départements que vous devez contacter en ce qui concerne les départements techniques qui posséderaient un enregistrement DNS. Tous les départements de sites Web qui pourraient potentiellement avoir un rôle à jouer là-dedans, en hébergeant le DNS et en sachant où le DNS est hébergé pour différentes parties de cela. Et je sais que l’autre chose que je voulais aborder, c’est la fréquence à laquelle nous voyons ces, vous savez, ces gros expéditeurs mis à part, n’est-ce pas ? Parce que je pense qu’ils constituent un cas particulier et qu’ils auront un ensemble de processus très spécifiques lorsque nous commencerons à nous intéresser aux expéditeurs de taille moyenne ou même plus petite. Je suppose que la recommandation serait de s’assurer simplement d’avoir un sous-domaine d’envoi pour ce que nous avons et ce que nous pouvons contrôler, et ensuite de recommander d’utiliser ce routage via le sous-domaine et d’utiliser une politique uniquement au niveau du sous-domaine pour s’assurer qu’au moins cette portion sur laquelle nous avons le contrôle puisse continuer à être utilisée à l’avenir.
00:18:34
Ash Morin : Oui, donc nous recommandons toujours, et cela s’inscrit dans les bonnes pratiques, de parler d’une stratégie de segmentation, et la segmentation de votre flux d’emails est très importante pour diverses raisons. La sécurité est l’une d’entre elles également, mais ce n’est pas toujours ce qu’une entreprise décide de faire. Parce que nous avons discuté en fait il y a de nombreuses années déjà, notamment lorsque nous avons abordé BIMI. Du fait que les symboles sont importants. Il y a du pouvoir dans les symboles ; le logo d’une entreprise et le nom d’une entreprise sont des symboles. Et nous sommes tellement habitués à Internet que certains noms de domaines sont immédiatement très puissants dès qu’on les voit. Vous savez, au premier coup d’œil, surtout pour une organisation qui existe depuis assez longtemps, Mailgun, Amazon ou Microsoft, vous savez, de grands noms. Immédiatement nous voyons Cedomaine.com et nous nous disons, oh oui, nous avons vu ce domaine un peu partout depuis toujours. Ils veulent donc bien sûr envoyer à partir de ce domaine autant que possible. Ce n’est pas conseillé. Ça ne l’est vraiment pas. Vous ne voulez pas mettre tous vos œufs dans le même panier. C’est effectivement ce que vous faites. Et si un œuf est pourri, cela pourrait gâcher tout le panier. Je sais que c’est une comparaison idiote, vous savez, mais c’est malheureusement vrai. Et donc vous, vous voulez éviter de faire cela, mais certaines organisations ne bougeront pas de cette position. Donc, à ce moment-là, cela devient un peu encore plus difficile pour ces personnes, pour ces organisations. Et elles devront peut-être changer de ton. Elles devront peut-être enfin aborder cela différemment. Et il relève des bonnes pratiques, même là, de savoir comment nommer un sous-domaine, sa longueur. Comment est-ce délégué à un fournisseur de services ? Avons-nous un contrôle total sur ce sous-domaine ? Et parfois, il sera utilisé non seulement parce que, hé, nous avons déjà un sous-domaine pour ce flux marketing. Il est entièrement conforme. C’est un domaine à source unique. Imaginez donc que vous vous inscrivez à un service Mailgun et que vous vous dites, eh bien, je vais envoyer depuis m.exemple.com, que seul Mailgun utilise. Je vais donc aller de l’avant et le verrouiller, car je sais que personne ne devrait ni ne va utiliser ce sous-domaine. Excellent moyen de sécuriser un flux très rapidement. Et ensuite, vous pouvez faire cela avec vos sous-domaines. Et puis vous soucier du primaire plus tard si vous en avez besoin. Mais parfois, cela peut aussi fonctionner dans l’autre sens si vous avez un problème avec une source et qu’elle est isolée, ou si vous avez l’intention de l’isoler parce que vous utilisez peut-être un système qui n’est pas compatible DMARC ou pour lequel il est très difficile de configurer DMARC. Et par là, j’entends un tiers. Vous n’avez donc aucun contrôle sur l’infrastructure. Par exemple, moi, je ne serais pas en mesure de me connecter ou d’accéder directement à l’infrastructure d’emails de Mailgun et d’y bricoler, n’est-ce pas ? C’est verrouillé. Je ne peux accéder qu’à ce que votre portail front-end me permet d’accéder. Ce sera donc la même chose avec d’autres tiers. Donc si leur infrastructure d’emails n’en est pas capable ou n’offre pas un libre-service, ou même une configuration DMARC prise en charge. En leur demandant, Hé, offrez-vous un support pour DMARC ? Vous devez envoyer des emails depuis mon domaine et d’une manière conforme à DMARC. Si la réponse est non, alors cela devient très compliqué de savoir quoi faire à ce stade. Parce que surtout maintenant que nous avons Google et Yahoo qui disent : vous avez intérêt à être conforme à DMARC, sinon. Et maintenant, si vous avez une source qui dit : non, nous n’offrons pas de support pour cela, eh bien, si vous avez de la chance, vous pourrez trouver une alternative. Si vous n’avez pas de chance, parce que disons que vous êtes une école (K-12) et que vous n’avez aucun pouvoir de décision sur les services ou le système que vous devez utiliser, car c’est imposé au niveau gouvernemental et oui, c’est comme ça. Alors cela devient un défi. Vous serez impuissant, la seule chose que vous puissiez faire, c’est de plaider pour un changement. Et avec un peu de chance, ils mettront à jour leur système sur la liste de leurs fournisseurs. C’est donc une bonne pratique. Mais bien sûr, il y aura toujours des situations uniques où ce qui est disponible pour vous pourrait ne pas l’être pour un autre.
00:22:18
Jonathan Torres : C’est difficile. Nous avons certainement vu cela, nous l’avons vécu dans le passé, en voyant un fournisseur déménager ou quelqu’un changer de fournisseur pour envoyer par le biais d’un service différent, et en particulier ceux pour lesquels j’ai, vous savez, travaillé ou dont j’ai fait partie, et puis vous vous retrouvez dans des situations où ils ne savent pas encore et ne comprennent pas ce qu’est un enregistrement DKIM, parce qu’ils ne l’ont jamais utilisé. Le domaine n’a donc pas de nouvelle réputation, et nous repartons de zéro pour construire sur quelque chose car cela n’a jamais existé, cela n’a jamais été utilisé. Donc, vous savez à quelle fréquence cela se produit, je pense que cela nous a vraiment ouvert les yeux il y a quelque temps sur le nombre de personnes qui vont être impactées par cela parce qu’elles se trouvent dans un système qui n’offre pas de support pour cela, qui ne leur permet pas de le faire, ou de s’identifier et de s’authentifier pleinement pour ce qu’elles font. Ou bien nous avons vu ces autres qui simplement, vous savez, et nous n’avons pas besoin de pointer quiconque du doigt, et nous ne voulons marcher sur les pieds de personne. Mais il y a certainement ceux qui pratiquent l’usurpation intentionnellement. Et c’est simplement la manière dont cela a toujours fonctionné, car cela a été autorisé à être fait de cette façon pendant si longtemps par tous les fournisseurs. Et maintenant, on leur demande d’amener tout le monde à faire ce qu’il faut, et tout le monde, vous savez, se dépêche de pivoter vers cela parce que c’est une des choses qui, vous savez, était permise. Donc les gens l’ont fait, et cela a simplement été la manière la plus facile de faire les choses pendant longtemps. C’est donc simplement devenu la norme.
00:23:24
Ash Morin : Il y a certainement eu un niveau de complaisance, en partie à cause de cela. Il y a 10 ans : j’ai besoin d’un enregistrement DMARC en p = none. Je connais p = none. N’aura pas d’impact. J’obtiendrai des données. Je ferai le strict minimum pour que mes emails continuent de circuler. Et puis ils configurent tout un tas de trucs avec SPF. Ils ont peut-être configuré DKIM, peut-être même avec des clés plus anciennes et plus faibles comme 768. Cela a été rendu obsolète il y a quelque temps. Maintenant, en 1024, cela pourrait durer beaucoup plus longtemps. Donc la nouvelle bonne pratique est 2048. Mais le truc, c’est que vous avez pu configurer ça il y a très longtemps, il y a des années, et ne plus jamais vous y pencher. Vous n’apportez donc des modifications que lorsque vous en avez besoin. La simple gestion d’un enregistrement SPF en est, je pense, un bon exemple. Vous ajoutez, vous savez, à l’époque où, vous savez, votre enregistrement SPF était v=spf1 mx ~all, c’est terminé. Et la raison à cela, c’est parce que vous saviez que votre enregistrement MX était probablement quelque chose comme mail.exemple.com, utilisé pour envoyer et recevoir des emails. Donc vous y avez juste mis votre directive MX. Ensuite, vous avez utilisé A, parce que SMTP, c’est drôle avec ça, et beaucoup de gens ne le savent peut-être pas, mais si un expéditeur essaie d’envoyer vers un domaine et que l’enregistrement MX n’est pas responsif, donc pas qu’il est rejeté, mais que vous pouvez vous y connecter. SMTP dit, eh bien, basculez vers l’enregistrement d’adresse, vers l’enregistrement A, pour essayer une connexion SMTP là. Et le fait est que vous aviez un serveur qui faisait tout. Vous aviez un serveur, une adresse IP publique qui servait à la fois de serveur Web et de serveur d’emails, et c’est tout ce dont vous aviez besoin. Mais maintenant les choses ont changé. Maintenant vous utilisez… il y a tellement de solutions Cloud. Beaucoup de services disent : ajoutez ceci à votre enregistrement SPF. Voici nos adresses IP. Ou bien nous effectuons une vérification de domaine basée sur une entrée dans votre enregistrement SPF. Maintenant, le problème avec ça, c’est que ça gonfle, ça gonfle, ça gonfle et ça gonfle. Vous savez, de nombreuses organisations y ajoutent des éléments, mais ne revoient jamais vraiment ce qui a été ajouté précédemment. Parce qu’elles n’en ont tout simplement pas le temps. Elles n’ont pas non plus de données faciles à suivre. Et c’est une autre raison pour laquelle, Hé, si vous n’avez pas DMARC maintenant, p=none est la première étape. Et c’est également la seule exigence pour la nouvelle exigence ; il ne s’agit pas de l’appliquer rigoureusement, mais d’avoir au moins p=none. Mais commencez à obtenir des données. Nous avons parlé de l’assistant plus tôt. Vous ne savez pas ce qu’est un enregistrement DMARC. Suivez l’assistant, obtenez un enregistrement, mettez-le dans votre DNS. Récupérez des données. Récupérez des données pendant une semaine, et vous aurez alors une idée de ce à quoi ressemble l’écosystème d’emails. Et maintenant vous disposez de données empiriques sur la façon dont ces sources d’emails envoient ces emails, sont-elles alignées ou non ? Et vous serez en mesure de dire quelles adresses IP sont réellement utilisées dans votre enregistrement SPF pour envoyer des emails. Vous pouvez supprimer les choses dont vous n’avez plus besoin, ce qui vous permet enfin de commencer à nettoyer beaucoup de choses. Mais c’est ce qui est génial avec DMARC, vous obtenez des données. Et sur ce point, l’une des questions qu’on nous pose, c’est : comment puis-je savoir si j’envoie 5 000 emails par jour à Google si la seule chose que je vois… imaginez que vous parliez à un professionnel de l’informatique responsable du, vous savez, système d’emails. La seule chose à laquelle j’ai accès, c’est, disons Google. Vous savez, mes trucs Google Workspace ou Microsoft 365. C’est la seule chose que je sais. Je sais combien d’emails nous envoyons et je peux effectuer une recherche sur ce qui va vers gmail.com, mais comment le savoir ? D’où viennent tous ces emails, quel est le volume de notre système marketing, ou potentiellement, ou, vous savez, du fournisseur d’avantages ou du fournisseur RH, et ainsi de suite. Eh bien, ce qu’il y a de formidable avec DMARC, et Google et Yahoo d’ailleurs, c’est qu’ils font des rapports. Ils font un rapport sur chaque email qu’ils reçoivent. Si vous avez un processeur XML, vous savez, une fois que votre enregistrement DMARC est dans votre DNS, vous commencez à collecter des données en fonction de votre système. Par exemple, DMARC, puisque vous pouvez filtrer sur la base de celui qui fait le rapport, donc celui qui nous envoie le rapport, celui à qui vous envoyez l’email, vous pouvez filtrer sur la base de Google. Vous saurez alors combien d’emails vous avez envoyés à Google pendant une semaine, puis chaque jour. Quel est ce total ? Donc, si vous voulez savoir si vous serez potentiellement considéré comme un expéditeur de masse. C’est un excellent moyen de le faire. Utilisez les données DMARC pour cela. Et vous pouvez, maintenant, ce ne sont pas tous les destinataires qui font des rapports, mais ceux qui comptent vraiment pour ce changement qui aura lieu le mois prochain. Ils font des rapports. Il n’y a donc aucune raison de ne pas utiliser ces données DMARC, non seulement pour savoir si vous êtes un expéditeur de masse, ou si vous entrez potentiellement dans leur catégorie de masse, mais aussi pour commencer votre démarche. C’est maintenant le meilleur moment pour le faire. Les deux grands acteurs qui implémentent cela, ils vous fournissent beaucoup de données et de nombreux outils pour savoir comment vous êtes perçu, vous savez, vous avez les outils de responsable de messagerie avec Google, et Yahoo dispose d’une assez bonne boucle de rétroaction sur les plaintes des clients, devrais-je dire. Et vous savez, utilisez ces outils.
00:27:49
Eric Trinidad : Ouais. J’entends dire qu’ils travaillent sur leurs propres outils de type responsable de messagerie Google également.
00:27:55
Ash Morin : Oui, ils ont un hub, un hub d’expéditeur. Ouais. Toutes leurs bonnes pratiques y sont publiées, mais il y a des signes indiquant qu’ils prévoient d’élargir ces services et outils, surtout à la lumière de l’annonce de l’année dernière.
00:28:08
Jonathan Torres : C’est passionnant. C’est toujours bon d’avoir des informations et pour en revenir à votre propos, je sais que les gens ont commencé à s’agiter, ils essaient d’avoir ce minimum pour mettre un pied dans la porte, être configurés et prêts pour cela. Comme, nous avons vraiment parlé à beaucoup de gens de ce minimum vital dont ils ont besoin. Et je veux dire, même avec juste le p=none, vous pouvez déjà commencer, genre, c’est fait, c’est configuré. Mais par exemple, la toute prochaine recommandation que nous faisons, c’est : commencez simplement à consommer ces rapports. Comme, trouvez un moyen de faire entrer ces rapports, trouvez un endroit où les envoyer, pour commencer à traiter ces données et ensuite commencer à comprendre, parce que, j’ai l’impression que cela nous donne le feu vert pour vraiment commencer à pousser les gens et leur dire : Hé, vous ne pouvez pas le laisser indéfiniment sur p=none, parce qu’ils ne seront pas d’accord pour que cela reste sur p=none pour toujours. Alors, commencez à collecter des données, examinons quelles sont les prochaines étapes pour passer en quarantaine, pour passer au rejet, car nous devons commencer à mieux appliquer les choses. Mais voilà, je pense que c’est exactement la première chose. Un pied dans la porte. p=none. Super. C’est fait. Étape suivante. Rapport, rapport, rapport.
00:29:03
Ash Morin : Extrêmement important.
00:29:03
Jonathan Torres : Nous en avons besoin. Ouais.
00:29:05
Ash Morin : Et je vais faire une déclaration, juste pour être clair ici, c’est que la majorité des services tiers, dès la sortie de la boîte, ne seront pas conformes à DMARC. Vous pourriez dire : eh bien, j’ai ajouté leurs adresses IP à mon enregistrement SPF. La majorité d’entre eux, oui, la grande majorité d’entre eux ne seront pas alignés sur SPF. Le chemin de retour n’est pas aligné avec votre adresse d’envoi. La majorité d’entre eux ne le seront pas. Salesforce ne l’est pas en fait, même Mailgun ne l’est pas. SendGrid, ça n’a pas d’importance. Constant Contact, iContact, Salesforce Marketing Cloud, et je pourrais continuer. Ils ne sont pas alignés par défaut. Ajouter leurs adresses IP à l’enregistrement SPF ne suffit pas pour la conformité DMARC. Et la conformité DMARC est ce qui est requis. Vous devez donc, comme vous l’avez dit, déployer cet enregistrement, recueillir des données, le plus tôt sera le mieux. Tout ce dont vous avez besoin, c’est de cet unique enregistrement et d’un endroit pour traiter ces rapports. Récupérez des données. Plus vous avez de données, plus vous aurez une image complète de votre écosystème d’emails, afin de comprendre combien de ces sources sont à 0 %. Malgré ce que je pensais parce que j’avais cru que mon enregistrement SPF couvrait ces aspects. C’est un scénario courant, et puis vous réalisez, oh. En fait ce n’est pas suffisant, alors ne supposez pas, supposer c’est mal. Testez et apprenez des preuves empiriques. Les données DMARC sont là pour ça. Vous ne pouvez pas faire de suppositions ici. Vous devez savoir à quoi ça ressemble. Alors ne supposez absolument rien, publiez cet enregistrement, recueillez les données, regardez le résultat, et vous serez probablement époustouflé, puis commencez votre démarche.
00:30:41
Jonathan Torres : J’adore l’analogie que vous venez de lancer parce que ça m’a fait penser à cela : vous savez, en ce moment, j’ai l’impression que si vous ne connaissez aucune de ces informations, c’est comme si vous regardiez un dessin avec des bonshommes allumettes et que vous pouviez vraiment transformer cela en un Van Gogh, n’est-ce pas ? Apportons toutes ces couleurs, apportons tous ces détails là-dedans. Obtenons de très belles choses si vous recevez ces rapports, les consommez et êtes capable de peindre véritablement cette image. Que se passe-t-il avec les emails que vous envoyez ?
00:31:03
Ash Morin : Absolument.
00:31:04
Eric Trinidad : Il nous reste ici cette dernière partie, de potentielles exceptions ?
00:31:07
Ash Morin : Je dirais que cette exception consiste simplement à repousser le travail à plus tard.
00:31:12
Jonathan Torres : Ça me plaît. Ouais.
00:31:14
Ash Morin : Et maintenant que nous avons deux des plus grands acteurs de l’espace qui disent que cela va se produire, et cela me fait un peu penser à 2014 lorsque Yahoo a dit : Hé, yahoo.com et aol.com sont maintenant p=reject, et que tout le monde s’est plaint au sujet des listes de diffusion. Eh bien, que va-t-il se passer avec les listes de diffusion ? Faites marche arrière sur ce point. Ils ne l’ont pas fait. Ils n’ont pas fait marche arrière. Les listes de diffusion ont donc dû mettre à jour, vous savez, leurs systèmes et ont dû commencer à trafiquer l’en-tête « from » à chaque fois que le domaine l’imposait. Donc nous ne ferons pas marche arrière. Cela va de l’avant. Il le faut parce que plus il y aura de personnes qui respecteront les bonnes pratiques en matière d’envoi d’emails, plus ce sera sécurisé. Pour tout le monde. L’environnement des emails, le système des emails sera ainsi, donc nous ne reculons pas. Donc pour les exceptions, ne voyez pas ça de cette façon. Allez-y à petits pas. S’il le faut. Demandez de l’aide si vous en avez besoin, il y a plus d’aide maintenant qu’il n’y en a jamais eu. Ouais. Alors juste. Faites-le. Faites-le. Ouais.
00:32:10
Eric Trinidad : Ash, ce que vous dites m’a rappelé certaines des conversations que nous avions eues auparavant, juste à propos des gens du secteur, comme l’industrie de l’email dans son ensemble, qui comptent tellement de personnes utiles et pleines de ressources qui, veulent vous voir réussir et veulent vous voir bien faire. Vous savez, qui veulent vraiment vous voir devenir un meilleur citoyen de la communauté des emails, parce que cela nous profite à tous. Alors oui, si vous avez des questions, vous savez, contactez votre fournisseur de messagerie, votre service d’emailing. Si vous avez des questions concernant, vous savez, DMARC et la configuration de votre politique, vous savez, contactez dmarcian, ce sera une excellente ressource pour vous aussi. Je pense que nous avons listé ici certaines choses où vous pouvez obtenir certaines de ces informations. Vous savez, la vérité est ailleurs. Vous pouvez la trouver facilement.
00:32:52
Jonathan Torres : Nous approchons de la fin, le temps est presque écoulé. Mais Ash, vraiment, merci beaucoup d’être toujours de la partie. Je sais que c’est probablement l’un des épisodes les plus techniques que nous faisons chaque saison, dès que nous commençons à parler de ce genre de choses. Mais vous en faites vraiment une très bonne conversation. Et, vous savez, transformer cet aspect technique en quelque chose d’intéressant, c’est difficile à faire et vous y arrivez parfaitement à chaque fois. Alors merci beaucoup de venir et de faire cela, parce que c’est quelque chose que nous avons tous besoin d’entendre.
00:33:13
Ash Morin : C’est un plaisir. J’adore parler de ces choses, comme je pense que c’est devenu évident. C’est rarement votre passion. Je n’aurais jamais pensé que ça deviendrait une passion, mais, vous savez, dès que j’ai commencé à bricoler avec ces trucs, j’ai su. Très bien. Je vais faire ça pendant longtemps. Ouais.
00:33:26
Eric Trinidad : Ouais. Vous êtes là pour longtemps. Super. Ash, si des personnes qui nous écoutent veulent entendre ou voir davantage de ce que vous avez préparé, où peuvent-ils trouver des informations sur vous ?
00:33:36
Ash Morin : La meilleure chose à faire, honnêtement, est d’aller sur dmarcian.com, puis là, sous notre lien de ressources. Il y a tout ce dont vous avez besoin de lire concernant non seulement nos outils DMARC, mais aussi notre base de connaissances. J’aime beaucoup écrire, donc sous notre base de connaissances, nous avons de nombreux blogs d’actualités et de connaissances. Traitant d’événements et de bonnes pratiques technologiques dans l’écosystème de l’email en ce qui concerne non seulement l’authentification, mais aussi d’autres sujets comme la stratégie de segmentation, les défis de SPF et ainsi de suite. Allez donc y jeter un coup d’œil. Je pense qu’il y a beaucoup de bonnes choses à y apprendre. Et si vous ne savez pas très bien comment entamer votre démarche DMARC. Nous avons aussi la DMARC Academy, qui est une bonne ressource pour obtenir un cours gratuit sur tout ce qui touche à DMARC. Alors, dmarc-academy.com, jetez-y un coup d’œil, inscrivez-vous gratuitement, apprenez des choses, et vous vous sentirez un peu plus à l’aise pour commencer votre démarche.
00:34:32
Eric Trinidad : Ouais. Super. Super. Et Thomas, s’ils veulent écouter d’autres épisodes ou trouver, plus d’informations sur nous, où peuvent-ils nous trouver ?
00:34:39
Thomas Knierien : Ouais, bien sûr. Vous pouvez trouver plus d’informations sur le podcast sur mailgun.com/resources/podcasts. Et vous pouvez également écouter l’épisode précédent que nous avons publié aujourd’hui. Nous veillerons à ajouter ces ressources de dmarcian, telles que l’assistant d’enregistrement qu’ils ont mis en place, qui est un outil vraiment génial, ainsi que ces ressources également. Nous voulons donc nous assurer que tout le monde suit cette mise à jour, car c’est ce que nous voulons faire. Nous voulons vous divertir et nous assurer de vous informer de ce qui se passe.
00:35:06
Eric Trinidad : C’est juste. Super. Eh bien, Ash, merci encore. Nous apprécions votre temps, et à la prochaine fois, passez tous une excellente journée.
