🗓️ Formation en ligne « Sécuriser son courrier électronique grâce au DNS avec DKIM, DMARC, SPF » avec Stéphane Bortzmeyer les 28 et 29 mars 2024.
ℹ️ Programme et inscriptions sur ▻https://www.afnic.fr/observatoire-ressources/agenda/formation-securiser-son-courrier-electronique-grace-au-dns-avec-dkim-dmarc-spf
Gmail And Yahoo Inbox Updates & What They Mean For Senders | Mailgun
▻https://www.mailgun.com/blog/deliverability/gmail-and-yahoo-inbox-updates-2024
The requirement from both Gmail and Yahoo is to set up strong authentication with “SPF, DKIM, and DMARC for your domain.” Previously not a requirement, this move towards implementing DMARC is something Sinch Mailgun’s Jonathan Torres had already predicted in our guide on email security and compliance.
(...) For DMARC you will need to set at minimum a p=none policy. (...)
Il ne suffit plus d’avoir SPF et DKIM, il va aussi falloir implémenter l’enregistrement DMARC, en mode « none » au minimum.
Je ne comprend pas pourquoi le standard mail n’évolue pas.
Si les corps de mails étaient stockés sur le serveur d’émission et non sur celui de réception, le stockage des spam serait à la charge de l’émetteur. Du coup :
1. les serveurs de réception pourraient accepter beaucoup plus facilement les entêtes
2. le corps pourrait être scanné pour les spams uniquement lorsque l’utilisateur demande l’affichage d’où une réduction de charge.
3. le volume global de transaction et de stockage serait beaucoup plus faible (seuls les entêtes seraient copiés pour un mail à plusieurs destinataire)
En fait on est resté sur un modèle basé sur les lettres papiers.
Du coup, faut qu’on fasse des trucs avec nos mails d’hébergeurs ?
Faut faire qq chose si tu gères ton email sur ton propre nom de domaine.
After self-hosting my email for twenty-three years I have thrown in the towel. The oligopoly has won.
Carlos Fenollosa
►https://cfenollosa.com/blog/after-self-hosting-my-email-for-twenty-three-years-i-have-thrown-in-the-
Le problème est plus grave. Das Internet ist kaputt. L’exclusion des petit prestataires est sytématique. Depuis au moins deux ans je ne propose plus l’hébergement de boîtes email (sur mes serveurs). Ce monsieur espagnol explique pourquoi.
September 04, 2022 — Many companies have been trying to disrupt email by making it proprietary. So far, they have failed. Email keeps being an open protocol. Hurray?
No hurray. Email is not distributed anymore. You just cannot create another first-class node of this network.
...
De mon côté, depuis 2 ans, ça va mieux.
Mieux : les serveurs Microsoft se font jeter par Google, et réciproquement. Parce que ponctuellement, les uns et les autres ne sont pas capables de respecter les RFC. Quand ça tombe sur un client que j’ai été contraint de migrer vers MS, ça fait plaisir de pouvoir lui dire que Microsoft n’est pas la panacée non plus.
Ça va mieux au sens où MS et Google ont cessé de filtrer sur des règles arbitraires (surtout MS d’ailleurs). Il reste Orange, avec des règles absurdes, mais c’est vraiment rare qu’on doive intervenir.
On en reste de notre côté à 3 points à contrôler :
1) Les DNS conformes : SPF, DKIM, DMARC ; parfois, DKIM est compliqué, selon l’hébergement final utilisé
2) Les IP émettrices identifiées et en nombre limité : ici, on concentre les flux sur deux IP RIPE
3) La surveillance des DNSBL, pour être toujours au vert ; pas mal de temps qu’on n’a pas eu besoin de faire quoi que ce soit à ce sujet
Juste pour mémoire, l’enregistrement DNS minimaliste à créer est le suivant :_dmarc IN TXT "v=DMARC1; p=none"
De ce que je lis ici, l’enregistrement #DMARC est imposé uniquement si on envoie plus de 5000 e-mails par période de 24 heures sur un service (GMail ou Yahoo donc) :
▻https://www.it-connect.fr/fevrier-2024-google-et-yahoo-imposent-utilisation-spf-dkim-dmarc
En dessous, la norme reste SPF et/ou DKIM. Par contre, "Tous les domaines et adresses IP utilisées pour émettre des e-mails doivent avoir un enregistrement DNS de type « PTR » (reverse) correctement configuré" et ça, je ne sais pas trop ce que ça veut, si quelqu’un·e a des infos...
Bon, j’imagine que ce n’est qu’une première étape et ça sera généralisé à terme.
L’enregistrement PTR, c’est de s’assurer que si ton serveur de messagerie répond qu’il se nomme toto.domain.tld, il faut que l’IP publique émettrice réponde « toto.domain.tld » à une recherche inverse.
En mode Linux, avec la commande host, je vérifie la résolution dans les deux sens, nom vers IP et IP vers nom (PTR) :
$ host seenthis.net
seenthis.net has address 217.182.178.243
$ host 217.182.178.243
243.178.182.217.in-addr.arpa domain name pointer seenthis.net.$ nc seenthis.net 25
220 seenthis.net ESMTP Postfix (Debian/GNU)
Notre billet le plus lu en 2023 et rédigé par Marc van der Wal, Ingénieur R&D à l’Afnic, porte sur les résultats de l’étude sur l’usage de SPF, DKIM et DMARC au sein de la zone .fr.
Saviez-vous que moins de 10 % des domaines .fr exploitent pleinement le DNS pour assurer l’authenticité de leurs e-mails ?
Lisez son analyse complète sur ►https://www.afnic.fr/observatoire-ressources/papier-expert/spf-dkim-et-dmarc-ou-en-sommes-nous-sur-le-fr
[Tuto 🎬] Sécurité e-mailing : découvrez avec Marc van der Wal, Ingénieur R&D à l’Afnic, comment SPF, DKIM et DMARC peuvent à la fois protéger le titulaire d’un nom de domaine en tant qu’émetteur mais également aider à la détection de tentatives d’usurpation par les destinataires
➡️ La vidéo sur ►https://www.afnic.fr/observatoire-ressources/actualites/revivez-en-video-la-12eme-edition-de-la-journee-du-conseil-scientifique-de-laf
#DNS #Sécurité #Email #JCSA23 #Cybersécurité #emailing #DKIM #SPF #DMARC
Comment signer ses emails avec la norme DKIM ? – Radio Piscine
▻https://www.nageurs.com/blog/radio-piscine/comment-signer-ses-emails-avec-la-norme-dkim
Howto pour utiliser une clé RSA pour signer les emails compatible DKIM
Vous souhaitez apprendre à sécuriser vos courriers électroniques grâce au DNS ?
Inscrivez-vous à notre formation du 29 et 30/09 pour tout savoir des protocoles DKIM, DMARC et SPF ▻https://www.afnic.fr/observatoire-ressources/agenda/formation-dkim-dmarc-spf-securiser-son-courrier-electronique-grace-au-dns
Protégez vos e-mails grâce au DNS avec les trois protocoles d’authentification SPF, DKIM, et DMARC ▻https://www.afnic.fr/observatoire-ressources/papier-expert/protegez-vos-e-mails-grace-au-dns-spf-dkim-dmarc
Protect your emails thanks to the DNS with the three authentication protocols SPF, DKIM and DMARC ▻https://www.afnic.fr/en/observatory-and-resources/expert-papers/protect-your-emails-thanks-to-the-dns-spf-dkim-dmarc
Être un géant du mail, c’est faire la loi… – Framablog
▻https://framablog.org/2017/02/17/etre-un-geant-du-mail-cest-faire-la-loi
Ce qui nous ramène à une situation des plus déplaisantes où un petit nombre d’acteurs peut en em***er une multitude.
#gmail #outlook #yahoo #orange #silos #mails #DKIM #SPF #DMARC
Ha ben tiens, en 2016 on publiait un article à ce sujet chez Infini, je l’avais déjà mentionné ici ▻https://seenthis.net/messages/777299#message777835
Et on en a un autre à paraître prochainement sur les smtp mous du genou ;)
Carrément !
J’ai des mails qui disparaissent dans des trous intergalactiques de l’internet ! Il suffit que j’inscrive un nom de domaine précis dans le corps du texte, même pas en destinataire ou envoyeur donc. Domaine qui n’est rien de plus qu’une librairie indépendante en ligne, que j’envoie ce mail avec le smtp de free et hop blocage total, impossible de franchir, mon mail est déclaré en spam. Je ne sais pas depuis combien de temps, qui quoi comment, les mails n’arrivent même pas à la boite mail pour y être reconsidérés, ils sont éliminés en cours de route, pof, disparus sans laisser de traces.
Après avoir insisté de nombreuses fois hier auprès de free qui ne comprenait pas ce que j’écrivais, même en suivant leur protocole d’envoi d’un mail que je ne peux pas envoyer (oui, c’est marrant ça) (ça a été assez rapide en fait, mais depuis quand ça plantait, mystère) je confirme que je reçois aujourd’hui les mails provenant de la dite librairie. Preuve qu’il y a eu levée d’un blocage. L’enfer.
Et donc ce ne sont plus les spams qui bousillent internet mais les algorithmes aux logiques marchandes à #IA bas du front qui filtre n’importe quoi n’importe comment avec des critères totalement opaques. Je viens de consacrer plusieurs heures à décrypter le pourquoi d’un blocage sans avoir aucune réponse sauf absurde, par soustractions, essais variés et divers j’isole un problème énorme car j’imagine que la solution actuelle n’est que temporaire et un stade supplémentaire de l’anéantissement de l’internet ouvert à tout·es.
Et donc notre dernier article à propos des SMTP mous du genou ▻https://seenthis.net/messages/885503 :)
Un #serveur de #mail complet et moderne (part. 2)
Il y a quelques temps, je vous proposais un tuto pour mettre en place un serveur de mail avec la plupart des fonctionnalités classiques (webmail, antispam avec Rpsamd, etc.)
Suite à de nombreuses demandes, questions, etc., je vous propose dans cette partie 2 de configurer votre zone DNS de manière plus précise afin d’éviter certains désagréments dus à une mauvaise configuration (#Dmarc, #SPF, #DKIM, ...)
▻https://www.citizenz.info/-serveur-mail-complet-et-moderne-part-2
▻https://www.citizenz.info/-serveur-mail-complet-et-moderne
Home · lieser/dkim_verifier Wiki
▻https://github.com/lieser/dkim_verifier/wiki
Une extension Thunderbird pour vérifier les signatures DKIM :
- le repo git : ▻https://github.com/lieser/dkim_verifier
- la page de téléchargement du .xpi : ▻https://github.com/lieser/dkim_verifier/releases
#DKIM #extension #thunderbird #outil #mail
#Degooglisation : question - Beaucoup de mes contacts ne reçoivent pas les mails que j’envoie depuis l’une ou l’autre adresse dégooglisée. Ces mails sont soit totalement bloqués soit atterrissent dans les spams, m’obligeant à garder un adresse google en back up. Avez-vous déjà rencontré le problème, comment faites vous pour le régler/contourner le retour à ggl. Merci #seenthis.
Je suppose que ça doit dépendre du fournisseur de mail et de sa configuration, donc pas de solution générique à priori. Depuis une adresse free j’ai jamais eu de problème à priori. Mais après quand on a une adresse riseup, proton ou que sais-je, tout dépend de la config de ce fournisseur.
Figurez-vous que cette semaine, j’étais absent, et c’est le moment que hotmail a choisi pour griller l’IP d’un de mes serveurs.
Dans ce cas là, mes utilisateurs reçoivent ce gentil message... et ils comprennent que leur mail n’a pas été transmis, ce qui est plutôt positif, entre nous...
bounced (host eur.olc.protection.outlook.com[XX.XX.XX.XX] said: 550 5.7.1 Unfortunately, messages from [XX.XX.XX.XX] weren’t sent. Please contact your Internet service provider since part of their network is on our block list (S3140). You can also refer your provider to ►http://mail.live.com/mail/troubleshooting.aspx#errors. [PU1APC01FT014.eop-APC01.prod.protection.outlook.com] (in reply to MAIL FROM command))
Mais les utilisateurs, ils se tournent alors vers moi. Et ils me disent que ça ne va pas. Et j’en ai plusieurs des utilisateurs...
Microsoft, qui gère Hotmail, a mis en place des outils pour aider à résoudre ces blocages. Et on finit par obtenir le déblocage. J’étais absent, je n’ai pas réussi à débloquer rapidement... il a fallu 4 jours... c’est énorme. Et il a fallu s’y reprendre à 3 fois.
D’expérience, chez Google, ils peuvent refuser de prendre en charge un message pendant plusieurs heures/jours. Mais ils finissent en général par l’accepter. C’est le cas lorsque trop de messages ont été transmis en même temps depuis un serveur particulier, et que ces messages sont louches ou trop nombreux à la fois.
Free, c’est plus opaque. Ils bloquent... avec un délai de 24 heures ou plus. Puis ils débloquent... et ils rebloquent, parce qu’ils considèrent que c’est toujours du spam... Les mails du serveur SeenThis vers Free ont été bloqués pendant plusieurs mois de ce fait, ils étaient remis... avec plusieurs jours/semaines de retard. Jusqu’à ce que mes mails de demande de prise en compte de la spécificité du serveur transmis à l’adresse dédiée à ces demandes aboutissent... sans pour autant qu’un quelconque échange avec un humain ait eu lieu.
Mon problème le plus cruel est celui que je rencontre au quotidien avec les mails transmis chez Microsoft (tous les utilisateurs Office 365). J’ai des utilisateurs hébergés sur mes infras Linux qui ont un mal fou à communiquer avec Microsoft. Et pour cause, il y a des filtres sur des critères impossibles à deviner... et qui font que certains noms de domaines expéditeurs ont leurs mails qui passent systématiquement en « courrier indésirable » quand ils arrivent sur Office 365. Pire... apparemment, parfois, des mails n’arrivent tout simplement pas. Dans ces cas là, je demande les détails techniques à mon utilisateur... heure, expéditeur, destinataire, et je vérifie dans les logs. Et systématiquement, je transmet à mon client les accusés de réception de la part de Microsoft. Le mail en question a bien été reçu par Office 365, mais il a été ensuite... effacé ? Je n’en sais rien. Et le support Microsoft ne veut/peut pas répondre. Quand j’en cause avec un humain, c’est forcément la faute de mes IP dont la réputation est mauvaise... des accusations sans éléments factuels...
Le monde du mail est une jungle où chacun expérimente les solutions les plus absurdes en décidant qu’il est légitime de supprimer des mails sans avertir personne.
Quand je suis parano, j’en viens à penser qu’il s’agit d’une stratégie volontaire. Un de mes clients, qui n’en pouvaient plus de devoir demander à ses interlocuteurs d’aller dans le dossier des Courriers indésirables, a fini par me demander à être migré chez Office 365. C’est une aberration à mon sens. Mais c’est comme cela que de plus en plus de mes clients vont chez Microsoft. Je gagne toujours de l’argent, mais ça m’écœure.
Anecdote : en même temps que je vous cause de mes déboires de messagerie Internet, j’ai des logs en visualisation :
«relay»: «tigre.interieur.gouv.fr»,
«to»: «secretariat-prefet@rhone.pref.gouv.fr»,
Les préfectures ont un serveur de messagerie dont le nom de domaine est « tigre ». Comme le surnom de Clémenceau ?
Salut,
je te conseil d’utiliser le Mail-tester (fourni par MailChimp) pour voir quels sont tes problèmes :
Ça fourni un diagnostique très détaillé avec des indications pour résoudre le problème.
Si tu as une note de 10/10 c’est que le problème ne vient pas de ta boîte mail, donc tu ne peux pas faire grand chose.
Très juste @gastlag, outil utile entre gens civilisés. Si on a 10/10 et que les mails ne passent pas, c’est qu’on ne peut pas faire grand chose.
Et c’est bien mon problème systématiquement 10/10 (car SPF, DKIM, DMARC, pas d’image, pas d’url, pas de signature à rallonge...) et Office 365 qui te marque « SPAM » dans l’entête reçu.
Pour un conseil complémentaire à Gastlag, c’est qu’il faut demander à ton hébergeur d’activer SPF et DKIM sur ton domaine. Et de lui demander à vérifier que ses IP d’émission de mails sont bien « vertes » sur les principales listes noires. Pour les admins de serveur qui ne connaitraient pas, on utilise ces deux outils :
▻https://rblwatcher.com
▻https://mxtoolbox.com/blacklists.aspx
Le second, sachez que c’est celui vers lequel le support Microsoft renvoie quand il vous explique que vos mails ne peuvent pas fonctionner, parce que l’IP qui héberge votre site Web est dans le rouge sur une des 70 listes disponibles (l’IP du site de ma société n’est pas utilisée pour envoyer des mails, d’où l’aspect incongru de la réponse du support...)
Il y a 3 ans on publiait ça chez #Infini :p
J’ai des potes qui utilisent une adresse gmail (si, si :-D). A une époque je n’avais plus que 7/10 au test, à cause d’une config que j’avais pétée en déménageant le serveur (spf je crois)... Après correction, malgré le retour du 10/10 évoqué plus haut, les mails de mon serveur arrivaient encore dans leurs SPAM... Retroussage de manches, adresses de test, etc. La « solution » super facile : les contacter pour qu’ils retirent/effacent du dossier SPAM tous les mails légitimes qui s’y trouvent et tous ceux que je leur avais envoyé en particulier...
Hotmail fonctionne parfois, parfois pas... J’ai tenté d’y voir plus clair avec une voisine. A priori, il faut suivre un peu les services qui listent les serveurs/IP spammeurs et réagir à chaque fois puis attendre... Je fais ça de temps en temps du coup (et je pense sérieusement à basculer les mails sur un service dédié...). Mais là aussi il semble qu’on dépende du fait d’avoir des mails dans les dossiers SPAM du destinataire...
J’ai des potes qui utilisent une adresse gmail (si, si :-D). A une époque je n’avais plus que 7/10 au test, à cause d’une config que j’avais pétée en déménageant le serveur (spf je crois)... Après correction, malgré le retour du 10/10 évoqué plus haut, les mails de mon serveur arrivaient encore dans leurs SPAM... Retroussage de manches, adresses de test, etc. La « solution » super facile : les contacter pour qu’ils retirent/effacent du dossier SPAM tous les mails légitimes qui s’y trouvent et tous ceux que je leur avais envoyé en particulier...
Hotmail fonctionne parfois, parfois pas... J’ai tenté d’y voir plus clair avec une voisine. A priori, il faut suivre un peu les services qui listent les serveurs/IP spammeurs et réagir à chaque fois puis attendre... Je fais ça de temps en temps du coup (et je pense sérieusement à basculer les mails sur un service dédié...). Mais là aussi il semble qu’on dépende du fait d’avoir des mails dans les dossiers SPAM du destinataire...
@gastlag effectivement score très bas. 3.3/10
Votre message n’est pas signé avec DKIM
Vous n’avez pas d’enregistrement DMARC + un problème de SPF. Merci, je vais déjà chercher de ce côté là.
Installer DKIM-patch pour ISPConfig 3 | nOOf.ovh
▻https://noof.ovh/installer-dkim-patch-pour-ispconfig-3
Bientôt les mails envoyés par ton serveur ne seront plus acceptés sans signature DKIM.
How To Install and Configure DKIM with Postfix on Debian Wheezy | DigitalOcean
▻https://www.digitalocean.com/community/tutorials/how-to-install-and-configure-dkim-with-postfix-on-debian-wheezy
Benutzen von DKIM in ISPconfig 3.1 | Howtoforge - Linux Howtos und Tutorials
▻https://www.howtoforge.de/forum/threads/benutzen-von-dkim-in-ispconfig-3-1.10167
Set Up DKIM (DomainKeys Identified Mail) Working With Postfix On CentOS Using OpenDKIM
▻https://www.howtoforge.com/set-up-dkim-domainkeys-identified-mail-working-with-postfix-on-centos-us
DKIM-Konfiguration für Postfix - Key Rotation - Pro-Linux
▻http://www.pro-linux.de/artikel/2/1863/7,key-rotation.html
DKIM key rotation – Agari Customer Success
▻https://agari.zendesk.com/hc/en-us/articles/203061499-DKIM-key-rotation?mobile_site=true
La nécessité d’auto-héberger son serveur de mails !
▻http://www.dsfc.net/infrastructure/messagerie-infrastructure/necessite-auto-heberger-son-serveur-de-mails
L’utilisation des services Mail gratuits se trouve très vite incompatible avec des campagnes d’envoi de mails en nombre.
#Messagerie #DKIM #DMARC #Dovecot #Formateur_Dovecot #Formateur_Postfix #Let's_Encrypt #Postfix #SPF
Newsletters spam test by mail-tester.com
►https://www.mail-tester.com
un outil pour tester le degré « d’acceptabilité » d’un serveur de mail
Propose aussi un testeur de configuration DKIM/SPF : ▻https://www.mail-tester.com/spf-dkim-check
gmx.de und web.de haben Mail-Rejects durch SPF
▻https://www.heinlein-support.de/blog/news/gmx-de-und-web-de-haben-mail-rejects-durch-spf
SPF „Bullshit und Broken by Design“
Wer „-all“ einträgt muss mit Mailverlust leben wollen
Absender können immer auch von anderen Mailservern kommen
Warum SRS das Problem nicht löst
1. Es gibt keine funktionierenden direkten SRS-Implementierungen in SMTP-Standardsoftware wie Postfix. Obwohl seit 10 Jahren immer wieder nachgefragt, hat Postfix-Erfinder Wietse Venema diesbezügliche Ansinnen stets abgelehnt. Kurz gefaßte Begründung: Weil’s Bullshit by Design ist und er kein Bullshit by Design implementiert. -Dem kann man nur zustimmen.
2. Unklar ist, wie bei mehrfachen Weiterleitungen zu Verfahren ist. Was passiert, wenn der Empfänger bei B seinerseits auf Domain C weiterleitet? Zugegeben: Grundsätzlich kann diese SRS-Umschreibung immer wieder erfolgen. Aber praktisch bricht hier bei Kettenweiterleitungen über kurz oder lang das Chaos aus.
3. Wie und auf welchen Weg sollen Bounces und andere Unzustellbarkeitsmeldungen „rückabgewickelt“ werden? Soll die Kette rückwärts wieder aufgedröselt werden?
La raison pour le choix de SPF chez GMX et WEB.DE n’est pas intelligible.
Warum machen GMX und web.de das?
Tja, die Frage ist schwierig zu beantworten. Irgendwie hat SPF bei GMX und (weil es der gleiche Konzern ist) bei web.de einen guten Stand. Schon vor knapp 10 Jahren gab es am Rande des Anti-Spam-Summits des IT-Branchenverbands ECO im Schloß Biebrich Wiesbaden beim Social Event mit Rotwein und Fingerfood in der hessischen Staatskanzlei eine hitzige Diskussion zu SPF zwischen acht Postmastern der großen Provider, der ich beiwohnen durfte (naja: ich habe sie angezettelt). In Sachen SPF gab es nur einen einzigen Führsprecher: der Kollege von GMX. Und der beendete die durchaus sehr kompetent geführte Fachdiskussion nach einer guten Dreiviertelstunde mit den für mich unvergesslichen Worten: „Ja, SPF geht nicht, wir machen es aber trotzdem!“ Wirklich so gesagt und geschehen. Und da kann man dann nicht mehr diskutieren oder irgendwas verstehen wollen.
Seitens GMX und web.de wird vermutlich auf SRS verwiesen und die Schuld (fast allen) anderen Providern zugeschoben, die halt bitteschön SRS hätten implementieren sollen. Nun, das ist ein Standpunkt und deren gutes Recht. Jedoch nicht viele Kollegen und Mailserver-Experten teilen diese Auffassung.
Pourtant il y une solution mais elle n’est pas aussi simple à gérer que SPF.
Was wirklich hilft: DKIM
Die ganze leidige SPF-Diskussion ist vor allem deshalb so frustrierend, weil mit der Technik „Domain Keys Identified Mail“ (DKIM) eine Lösung zur Verfügung steht, die ebenfalls den Mißbrauch von Absendern wirkungsvoll einschränken kann (und nebenbei sogar noch die Unverfälschtheit der Mail sicherstellt). DKIM führt dazu eine Crypto-Signatur im Mailheader ein, also eine digitale Unterschrift des Mailservers. Dieser DKIM-Header ist nicht an die IP-Adresse gebunden und bleibt auch bei Weiterleitungen problemlos erhalten, solange die Mail unverändert ist (und das ist ja sehr positiv). Ähnlich wie beim SPF-Record kann der Domainbesitzer auch hier über DMARC festlegen, dass seine Mails wirksam DKIM-signiert sein müssen und wie mit Mails zu verfahren ist, denen diese Signatur fehlt. Mehr dazu im unten genannten Vortrag von uns.
infos supplémentaires
Sender Policy Framework
▻https://en.wikipedia.org/wiki/Sender_Policy_Framework
SPF Query Tool
►http://www.kitterman.com/spf/validate.html
How To Implement SPF In Postfix
▻https://www.howtoforge.com/postfix_spf
DomainKeys Identified Mail
▻https://en.wikipedia.org/wiki/DomainKeys_Identified_Mail
Ubuntu+ISPConfig+DKIM | Howtoforge - Linux Howtos and Tutorials
►https://www.howtoforge.com/community/threads/ubuntu-ispconfig-dkim.72473
ISPConfig – DKIM-Patch 1.0 – florian @it
155 Gedanken zu “ISPConfig – DKIM-Patch 1.0”
▻https://blog.schaal-24.de/ispconfig/dkim-patch-1-0
How to send emails properly – florian @it
▻https://blog.schaal-24.de/mail/emails-richtig-versenden/?lang=en
RFC 7960 : Interoperability Issues between Domain-based Message Authentication, Reporting, and Conformance (DMARC) and Indirect Email Flows
Le mécanisme #DMARC permet d’indiquer dans le #DNS la politique d’un domaine concernant l’authentification du courrier. Si je reçois un message prétendant venir de ma-banque.example, et qu’il n’est pas authentifié (ni #SPF, ni #DKIM, ni autre chose), comment savoir si c’est parce que ma banque est nulle en sécurité du courrier, ou bien parce que le message est un faux ? DMARC permet de répondre à cette question en publiant un enregistrement qui indique si le courrier est censé être authentifié ou pas. Comme toutes les techniques de sécurité, ce mécanisme est imparfait et il pose notamment des problèmes avec les messages indirects. Par exemple, si vous avez une adresse à votre ancienne université, alice@univ.example et que le courrier qui lui est adressé est automatiquement transmis à votre adresse professionnelle, alice@evilcorp.example, comment DMARC va-t-il réagir avec cette indirection ? C’est ce qu’explore ce #RFC.
Et, en parlant des ré-expéditeurs, les listes de diffusion, pas vraiment prévues par DKIM , que faire pour elles ? Le RFC 6377 a déjà traité leur cas. Une technique courante est de modifier le champ From : pour mettre l’adresse de la liste, réduisant l’auteur original à un commentaire dans cet en-tête (avis personnel : je déteste ça). Comme cela rend difficile de répondre en privé au vrai auteur d’un message, l’ajout d’un Reply-To : peut aider. Une autre solution est d’emballer le message original dans une partie MIME message/rfc822. Cette partie resterait intact et le message emballant aurait comme expéditeur la liste. Mais peu de MUA savent afficher proprement ce genre de messages (spécialement dans le monde des mobiles).
RFC 7372 : Email Authentication Status Codes
Il existe désormais plusieurs techniques d’authentification du courrier électronique, comme #SPF ou #DKIM. Elles permettent à un serveur de messagerie, s’il le désire, d’accepter ou de rejeter le courrier entrant s’il échoue à ces tests d’authentification. Mais il n’existait pas jusqu’à présent de moyen standard de prévenir l’expéditeur, lors de la session #SMTP, de la raison de ce rejet. C’est désormais fait, avec ce nouveau #RFC, qui permet de renvoyer des codes de retour SMTP explicites, si on veut.
Bye bye #Gmail !
►http://www.framablog.org/index.php/post/2014/02/05/Bye-bye-Gmail
Nous l’avions dit lors de notre campagne de don 2013 : 2014 sera l’année du « Moins de #Google et plus de Libre » Un semblant de planning a été dévoilé dans le récent billet intitulé « Manger la pâtée de son chien ». C’est le 1er février que nous devions nous séparer de #Gmail, et nous l’avons fait ! Nous sommes maintenant complètement autonomes pour la gestion de nos mails. Comme annoncé précédemmen […]
C’est la dernière chose qu’il me reste à auto-héberger (j’ai un compte email chez #OVH). Il y a quand même un problème important, c’est que les emails libres tombent une fois sur deux dans les #spams chez les #Google, #Microsoft et #Yahoo !… Et je pense pas qu’il faillent attendre d’eux qu’ils corrigent ça.
Ce qui n’est pas évoqué c’est comment résoudre la limitation de taille de boite emails... ni de gestion de serveur dédié, si tu n’as vraiment pas que ça à faire.
@supergeante
La
gestion de serveur dédié, si tu n’as vraiment pas que ça à faire
est une aventure où tu te bats contre les mercenaires de l’Est et de l’Ouest. C’est comme partir en Kurdistan se battre pour le Rojava mais avec un Автомат Калашникова digital ;-)
RFC 7001 : Message Header Field for Indicating Message Authentication Status
Il existe désormais plusieurs techniques pour authentifier les courriers électroniques. Certaines peuvent nécessiter des calculs un peu compliqués et on voudrait souvent les centraliser sur une machine de puissance raisonnable, dotée de tous les logiciels nécessaires. Dans cette hypothèse, le MUA (le logiciel de l’utilisateur) ne recevra qu’une synthèse (« Ce message vient bien de example.com ») et pourra alors prendre une décision, basée sur cette synthèse. C’est le but de l’en-tête Authentication-Results :, normalisé originellement dans le RFC 5451 quatre ans plus tôt, RFC que ce nouveau #RFC met légèrement à jour (il y a peu de changements).
HOWTO define DKIM/ADSP RRs
▻http://www.zytrax.com/books/dns/ch9/dkim.html
Caractéristiques et syntaxe DNS pour définir un enregistrement DKIM (DomainKeys Identified Mail) pour un domaine et ses serveurs de mail.
#dns #serveur #dkim #dns #howto #mail #authentification #spam
How a #Google Headhunter’s E-Mail Unraveled a Massive Net Security Hole | Threat Level | Wired.com
►http://www.wired.com/threatlevel/2012/10/dkim-vulnerability-widespread
For security reasons, the #DKIM standard calls for using keys that are at least 1,024 bits in length. But Google was using a 512-bit key – which could be easily cracked with a little cloud-computing help.
RFC 6541 : DKIM Authorized Third-Party Signers
Depuis la sortie de la norme #DKIM d’#authentification du #courrier_électronique, il y a des incompréhensions sur ce que DKIM garantit réellement. Beaucoup d’utilisateurs croient que, lorsqu’un message prétend venir de joe@example.net et qu’il est signé par DKIM, on peut être sûr que le message vient de joe@example.net. Rien n’est plus faux. DKIM garantit tout autre chose. Il dit juste que l’identité du domaine signeur, dans le champ DKIM-Signature :, est correcte. Résultat, il y a un fossé entre ce qu’espère l’utilisateur et ce que DKIM livre effectivement. Ce #RFC expérimental propose une solution pour combler ce fossé.
Deux nouveaux #RFC sur la technologie d’authentification du courrier #DKIM :
La nouvelle version de la norme, RFC 6376 « DomainKeys Identified Mail (DKIM) Signatures ». Le courrier électronique, on le sait, n’offre, en natif, aucun mécanisme d’authentification des utilisateurs. Il est donc assez facile d’envoyer un courrier prétendant venir de Bill.Gates@microsoft.com. DKIM, spécifié dans notre RFC, est la dernière tentative de combler ce manque. (La première version de DKIM était normalisée dans le RFC 4871. Cette nouvelle version n’apporte pas de changements cruciaux.) ►http://www.bortzmeyer.org/6376.html
Et un RFC sur DKIM et les listes de diffusion, RFC 6377 « DKIM And Mailing Lists ». La sécurité, c’est compliqué. Ce n’est pas tout de définir des normes techniques comme DKIM, pour sécuriser le courrier électronique. Il faut encore étudier leurs conséquences pour tous les cas. Le courrier électronique ayant débuté il y a très longtemps, et n’ayant pas vraiment été spécifié dans tous les détails, il représente un défi particulier pour tous ceux qui essaient de le sécuriser a posteriori. C’est ainsi que ce nouveau RFC s’attaque au cas particulier des listes de diffusion et étudie comment elles réagissent avec le mécanisme d’authentification DKIM. ►http://www.bortzmeyer.org/6377.html