Chapter 3
Bien que l’intelligence artificielle générative (IA générative) offre de nombreuses promesses pour l’avenir, elle rend également difficile le fait de distinguer le vrai du faux, surtout entre de mauvaises mains. Tandis que les expéditeurs d’emails utilisent l’IA pour améliorer leur efficacité et trouver des idées marketing, les escrocs et les spammeurs lui ont trouvé leurs propres usages malveillants.
L’hameçonnage est une préoccupation majeure depuis des années. Aujourd’hui, avec les outils d’IA générative, les personnes malveillantes peuvent rapidement créer des emails trompeurs donnant l’impression de provenir de n’importe quelle marque. Ils peuvent également utiliser de grands modèles linguistiques (LLM) pour personnaliser les escroqueries afin de rendre l’ingénierie sociale plus convaincante.
Les protocoles d’authentification des emails aident les fournisseurs de messagerie à vous identifier en tant qu’expéditeur légitime. Cela prouve que vous êtes bien celui que vous prétendez être, que vos messages sont dignes de confiance et qu’ils doivent être livrés dans la boîte de réception. Mais y a-t-il suffisamment d’expéditeurs qui utilisent l’authentification des emails ?
des expéditeurs savent qu’ils utilisent à la fois SPF et DKIM pour l’authentification des emails.
d’augmentation du nombre d’expéditeurs sachant qu’ils utilisent DMARC par rapport à notre enquête de 2023.
de ceux qui envoient plus de 100 000 emails par mois savent qu’ils utilisent DMARC pour l’authentification des emails (20 % n’en sont pas sûrs).
des expéditeurs qui utilisent DMARC savent qu’ils l’appliquent avec une politique de rejet ou de quarantaine.
L’authentification est l’un des aspects les plus techniques de la délivrabilité des emails. Elle implique des enregistrements DNS que les serveurs de messagerie de réception doivent consulter avant de livrer les messages.
Pour un petit rappel, voici les enregistrements TXT DNS liés à l’authentification des emails et les bases de leur fonctionnement :
Sender Policy Framework : SPF spécifie quelles adresses IP sont autorisées à envoyer des emails au nom d’un domaine. Il permet de vérifier que l’email a été envoyé par une source valide.
DomainKeys Identified Mail : DKIM utilise une signature numérique cryptographique, qui permet aux serveurs de messagerie de réception de vérifier que l’email provient bien du domaine dont il se revendique.
Domain-based Message Authentication, Reporting and Conformance : DMARC s’appuie sur SPF et DKIM en offrant aux propriétaires de domaines un moyen de préciser comment les serveurs de messagerie de réception doivent traiter les échecs d’authentification.
Brand Indicators for Message Identification : BIMI s’appuie sur DMARC et permet aux marques d’afficher un logo vérifié à côté des emails dans la boîte de réception du destinataire lorsque DMARC est appliqué.
Les expéditeurs d’envois en masse doivent utiliser SPF, DKIM et DMARC s’ils souhaitent obtenir un placement en boîte de réception auprès des principaux fournisseurs de messagerie. Cependant, tous les expéditeurs peuvent tirer parti de l’utilisation de ces trois méthodes, et BIMI, c’est la cerise sur le gâteau.
Votre organisation utilise-t-elle SPF et/ou DKIM pour l’authentification des emails ?
Les protocoles SPF et DKIM sont essentiels à l’authentification des emails. Bien que les expéditeurs à faible volume puissent atteindre la boîte de réception des emails avec l’un des deux seulement, l’utilisation des deux est vivement encouragée. Les expéditeurs d’envois en masse doivent utiliser SPF et DKIM pour se conformer aux exigences 2024 de Gmail et Yahoo.
Près des deux tiers des expéditeurs (66,2 %) déclarent utiliser à la fois SPF et DKIM pour l’authentification des emails. 25,7 % des répondants n’étaient pas certains de la manière dont leur organisation utilise DKIM et SPF. Moins de 9 % ont déclaré n’utiliser que l’un ou l’autre.
Lorsque nous filtrons ces résultats en fonction des volumes d’envoi, plus de 75 % des répondants envoyant plus de 50 000 emails par mois sont certains d’utiliser les deux protocoles. Le plus haut degré d’incertitude concernant SPF et DKIM provenait des expéditeurs à faible volume avec moins de 50 000 emails par mois.
Pour ceux qui ne sont pas certains de l’authentification SPF et DKIM, il est probable qu’ils utilisent au moins l’un des deux. La plupart des services d’emailing (ESP) exigent que ces protocoles soient configurés avant d’envoyer tout email. Dans certains cas, un service d’emailing peut utiliser ses propres enregistrements SPF et DKIM au nom d’expéditeurs plus petits disposant d’IP partagées.
À quelle fréquence environ modifiez-vous les clés DKIM ?
Le protocole DKIM implique une paire de clés, une publique et une privée, qui sont utilisées pour authentifier un domaine d’envoi. La clé privée contient la signature numérique chiffrée et est envoyée avec les messages de l’email. La clé publique réside sur le DNS et est mise en correspondance avec la clé privée pour vérifier l’authenticité du message.
Les clés DKIM doivent être modifiées périodiquement. Il s’agit d’une pratique connue sous le nom de rotation des clés DKIM. C’est nécessaire car ces clés peuvent être compromises, ce qui ouvre la porte à des personnes malveillantes pour causer de réels dommages.
La rotation des clés DKIM ressemble beaucoup au changement des mots de passe de vos comptes personnels pour garantir leur sécurité. Malheureusement, les expéditeurs ne semblent pas avoir l’habitude d’effectuer la rotation des clés DKIM.
47,7 % des expéditeurs qui utilisent DKIM admettent qu’ils ne modifient les clés qu’après un problème de sécurité. À ce moment-là, il est peut-être déjà trop tard. Dans notre enquête, 40 % des expéditeurs affirment ne pas être sûrs de leurs pratiques en matière de rotation des clés DKIM.
Seulement 12 % des expéditeurs déclarent avoir un délai approximatif pour la rotation des clés DKIM. Les 88 % restants pourraient mettre en danger leurs clients et abonnés, ainsi que la réputation de leur marque.
Si quelqu’un vole vos clés DKIM, il n’a même pas besoin de recourir à l’usurpation. Il est littéralement capable de signer des emails comme s’ils avaient été envoyés depuis votre domaine.
Il est considéré comme une bonne pratique de modifier les clés DKIM tous les 6 à 12 mois au minimum. Si vos clés DKIM font l’objet d’une fuite ou qu’une personne malveillante parvient à les déchiffrer, changez-les dès que possible. Visitez le centre d’aide de Sinch Mailgun pour apprendre à mettre à jour ou modifier vos clés DKIM.
Expéditeurs utilisant DMARC pour l’authentification des emails (2023 contre 2024)
Il est juste de dire que l’aspect le plus important des nouvelles règles de Google et Yahoo pour les expéditeurs d’envois en masse est l’exigence DMARC. DMARC offre un moyen d’exploiter la puissance conjointe de SPF et de DKIM pour une authentification des emails renforcée.
Les résultats de notre enquête montrent une hausse de l’adoption de DMARC par rapport aux résultats que nous avons publiés dans le rapport sur L’état de la délivrabilité des emails en 2023. En 2024, 53,8 % des expéditeurs nous ont déclaré utiliser DMARC. Cela représente une augmentation de 11 % par rapport aux 42,6 % qui avaient implémenté DMARC en 2023.
Expéditeurs utilisant DMARC en 2024 (Comparaison du volume mensuel)
Comme on pouvait s’y attendre, en raison de l’exigence DMARC de Google, l’augmentation semble encore plus forte parmi les expéditeurs d’envois en masse. Alors qu’environ 56 % des expéditeurs avec les volumes les plus élevés avaient configuré DMARC en 2023, approximativement 70 % ou plus d’entre eux l’ont fait en 2024.
Lors de la configuration de DMARC, les expéditeurs doivent choisir une politique spécifique qui indique aux serveurs de messagerie de réception comment traiter les messages qui échouent à SPF ou DKIM. Voici comment chacune de ces trois politiques fonctionne :
1. Aucune (p=none) : cette politique DMARC indique aux serveurs de messagerie de réception de ne rien faire si un message échoue à l’authentification.
2. Quarantaine (p=quarantine) : cette politique DMARC indique aux serveurs de messagerie de réception que les échecs d’authentification doivent être filtrés dans le spam.
3. Rejet (p=reject) : cette politique DMARC est la plus stricte. Elle indique aux serveurs de messagerie de réception que les échecs d’authentification ne doivent pas du tout être livrés.
Quelle est votre politique DMARC actuelle ?
L’exigence DMARC de Yahoo et Google stipulait seulement que les expéditeurs utilisent une politique p=none. C’est parce qu’à ce stade, les fournisseurs de messagerie essaient d’inciter les expéditeurs à franchir la première étape vers l’application.
La politique p=none était la politique la plus couramment utilisée par les expéditeurs en 2023, et il en est resté de même dans notre dernière enquête. 31,8 % des expéditeurs qui utilisent DMARC ont configuré leur politique sur Aucune, 19,3 % utilisent la Quarantaine et 17,7 % ont configuré une politique sur Rejet.
Mise en œuvre de la politique DMARC (2023 contre 2024)
En 2023, environ 23 % des expéditeurs avaient configuré leur politique DMARC sur Aucune. Mais le changement le plus notable a été une baisse du nombre d’expéditeurs qui ne sont pas sûrs de la politique utilisée. Bien que 31,3 % des expéditeurs de l’enquête de cette année ne soient pas sûrs de leur politique DMARC, ce chiffre a chuté par rapport aux plus de 40 % de 2023.
Ce résultat suggère que les nouvelles exigences des expéditeurs ont non seulement encouragé l’adoption de DMARC, mais ont également accru la sensibilisation à la norme et à ses politiques spécifiques.
« DMARC comble en réalité une lacune que SPF et DKIM avaient en quelque sorte laissée, en introduisant le concept d’alignement… cela ferme cette faille et s’assure que vous êtes bien celui que vous prétendez être. Vous pouvez définir une politique DMARC qui stipule : rejeter, mettre en quarantaine ou surveiller. Pour le moment, les fournisseurs de messagerie n’exigent rien de plus strict que p=none, mais cela pourrait changer. »
L’utilisation de la politique DMARC p=none pose un problème. Elle ne contribue pas vraiment à améliorer votre authentification. Les messages qui échouent à DKIM ou SPF peuvent tout de même être livrés dans les boîtes de réception des emails. Techniquement, vous n’appliquez pas DMARC tant que vous ne mettez pas en œuvre une politique p=quarantine ou p=reject.
Les expéditeurs utilisant p=none mettront-ils en œuvre une politique DMARC plus stricte au cours de l’année à venir ?
La politique p=none est censée être utilisée pour tester DMARC pendant la configuration. Les expéditeurs sont supposés finir par changer de politique. Alors, est-ce que les expéditeurs de notre enquête prévoient de le faire ?
Les résultats montrent qu’un total de 25,5 % des expéditeurs utilisant p=none prévoient de mettre à jour la politique au cours de l’année à venir. Cependant, 61 % ne le feront que si cela leur est exigé et 13 % ne prévoient pas de faire de mise à jour, car ils satisfont aux exigences DMARC actuelles.
« L’objectif final est idéalement une politique p=reject. C’est à cela que sert DMARC. S’assurer que votre domaine ne peut pas être usurpé et protéger nos clients communs contre les abus. »
Les expéditeurs qui prévoient d’attendre que l’application de DMARC soit exigée pourraient ne pas attendre très longtemps. Des représentants de Gmail et Yahoo nous ont dit qu’ils finiraient par exiger une politique plus forte. Les expéditeurs qui ont pris des mesures pour appliquer DMARC ont une longueur d’avance, et ils font le bon choix.
Si vous avez besoin d’une autre raison pour choisir une politique DMARC plus stricte, BIMI fera peut-être l’affaire. Cette spécification permet aux expéditeurs d’afficher un logo vérifié à côté de leurs emails. Cependant, pour être éligible à un logo BIMI, vous devez appliquer DMARC avec une politique de rejet ou de quarantaine.
Gmail, Apple Mail et Yahoo Mail supportent tous BIMI, mais Outlook ne le fait pas pour le moment. Voici à quoi pourrait ressembler un logo BIMI dans la boîte de réception :
Avez-vous configuré BIMI pour obtenir un logo vérifié en boîte de réception ?
Alors, quelle est la popularité de BIMI ? Le site web BIMI Radar suit plus de 72 millions de domaines pour ce qu’il appelle la « préparation à BIMI ». Au moment où nous rédigeons cet article, le site indique que seulement 3,8 % de ces domaines seraient éligibles à un logo BIMI. Cela signifie que la grande majorité d’entre eux n’utilise pas DMARC ou n’a pas de politique suffisamment stricte.
Notre dernière enquête a demandé aux expéditeurs d’emails s’ils avaient déjà implémenté BIMI. Les résultats montrent que 5,7 % des répondants utilisent BIMI tandis que 11,4 % d’entre eux travaillent sur l’implémentation de la spécification. Cependant, près de 60 % des expéditeurs n’utilisent pas BIMI.
BIMI n’a pas d’impact direct sur la délivrabilité et ne contribue pas à l’authentification de vos emails. Néanmoins, il est associé à l’authentification car seuls les expéditeurs qui ont fait des efforts concernant DMARC peuvent afficher un logo vérifié en boîte de réception. Comme vous pouvez l’imaginer, cela présente des avantages pour de nombreuses marques.
La confiance des clients/abonnés
La protection de la réputation de la marque
Le développement de la notoriété de la marque
La sécurité des emails
Nous voulions découvrir ce qui poussait les expéditeurs qui utilisent BIMI à chercher à obtenir un logo en boîte de réception. Qu’espéraient-ils y gagner ? Voici ce que ces expéditeurs déclarent être le principal moteur de l’implémentation de BIMI :
Un logo en boîte de réception offre certainement une image de marque supplémentaire via vos emails. Bien que BIMI ne fasse rien en soi pour renforcer la sécurité des emails, c’est la preuve qu’un expéditeur a pris d’autres mesures en ce sens. Les destinataires peuvent être plus susceptibles d’ouvrir les emails affichant un logo en boîte de réception et d’interagir avec ceux-ci, car ils semblent plus dignes de confiance.
7,4 % des répondants nous ont dit qu’ils recherchaient BIMI pour booster l’engagement de leurs emails. Et cela pourrait très bien être vrai. Une étude de 2021 sur les logos en boîte de réception suggère qu’ils ont un impact positif sur les statistiques d’engagement, telles que le taux d’ouverture.
Comment l’authentification des emails profite aux expéditeurs :
• Elle empêche l’usurpation de votre marque.
• Elle protège les clients contre les menaces de sécurité.
• Elle favorise une bonne réputation d’expéditeur.
• Elle conduit à un meilleur placement en boîte de réception.
Comment l’authentification des emails aide les fournisseurs de messagerie :
• Elle permet d’identifier les expéditeurs légitimes par rapport aux messages malveillants.
• Elle soutient l’intégrité de leur produit.
• Elle incite les personnes à utiliser l’email pour les communications de la marque.
• Elle offre des indications sur le filtrage des échecs d’authentification.
Comment l’authentification des emails bénéficie aux destinataires :
• Elle empêche les emails d’hameçonnage, le spam et les logiciels malveillants d’atteindre leurs boîtes de réception.
• Elle instaure la confiance envers les marques desquelles ils souhaitent avoir des nouvelles.
• Elle améliore l’expérience en boîte de réception en réduisant les emails indésirables
Configurer l’authentification des emails peut s’avérer complexe, mais ce travail porte ses fruits. C’est bénéfique pour toutes les personnes impliquées… à l’exception des spammeurs et des escrocs.
Les résultats de notre enquête montrent que la communauté de l’emailing progresse en matière d’authentification et de sécurité des boîtes de réception, mais qu’il y a encore une marge d’amélioration.
Avec les services de délivrabilité de Sinch Mailgun, vous bénéficierez de votre propre responsable de compte technique (Technical Account Manager – TAM) pour vous aider à naviguer dans les complexités liées à l’obtention d’un bon placement en boîte de réception. Contactez-nous pour en savoir plus.
