p=none : la politique DMARC qui a l'air conforme et n'arrête rien

Demandez à n'importe qui en sécurité courriel quel domaine est le plus facile à usurper et vous aurez toujours la même réponse : celui qui n'a pas d'enregistrement DMARC. C'est vrai. Mais nous pensons qu'il y en a un pire, et qu'il y en a beaucoup plus : le domaine qui a publié DMARC avec p=none — et qui y est resté.

C'est notre position, et ce n'est pas le consensus. Voici le raisonnement, écrit pour ceux qui gèrent le courriel comme pour ceux qui en dépendent simplement.

D'abord, ce que DMARC décide vraiment (sautez si vous le savez déjà)

Tout devient plus simple avec DMARC quand on accepte une chose : votre politique DMARC ne concerne pas les courriels que vous recevez. Elle concerne les courriels qui prétendent venir de vous.

Quand un message dit From: [email protected], le serveur qui le reçoit — Gmail, Microsoft 365, le filtre d'un fournisseur, votre propre serveur de courriel — cherche l'enregistrement DMARC de votre domaine dans le DNS et y trouve deux choses : comment vérifier si le message vient vraiment de vous (SPF et DKIM, alignés sur votre nom), et ce que vous voulez qu'on fasse si la vérification échoue. Cette deuxième partie, c'est la politique :

DMARC est donc une instruction que vous publiez pour le monde entier à propos des courriels sortants en votre nom. Et ce monde inclut votre propre organisation : quand quelqu'un usurpe [email protected] pour écrire à [email protected], c'est votre propre Microsoft 365 ou Google Workspace qui lit votre enregistrement et l'applique.

p=none veut donc dire exactement ceci : « si un message en mon nom est une usurpation, livrez-le quand même et dites-le-moi. »

L'argument voulant qu'aucun DMARC soit pire — et pourquoi il est moins solide qu'il en a l'air

L'argument est simple : sans enregistrement, il n'y a aucune politique, donc les destinataires n'ont rien à appliquer. N'importe qui peut envoyer au nom de ce domaine.

C'était plus vrai il y a cinq ans qu'aujourd'hui. Les destinataires ont cessé de traiter « pas de DMARC » comme neutre. Gmail et Yahoo exigent DMARC de quiconque envoie en volume ; Microsoft a suivi ; les filtres, partout, comptent l'absence d'enregistrement comme une faiblesse et retiennent ou refusent les courriels qui échouent aussi SPF ou DKIM. Un domaine sans DMARC et mal authentifié est déjà traité avec méfiance — ses usurpations font souvent moins de dégâts en pratique, parce qu'elles étaient suspectes dès le départ.

Personne n'est rassuré par un domaine sans DMARC. C'est tout le point.

Pourquoi p=none est le meilleur domaine pour un attaquant

Prenez maintenant le même domaine une semaine après avoir publié v=DMARC1; p=none; rua=mailto:.... Trois choses ont changé, et les trois aident l'attaquant.

1. Il passe maintenant la paperasse. Questionnaires de fournisseurs, formulaires de cyberassurance, scanneurs de conformité, la plupart des outils « vérifiez votre DMARC » : ils demandent y a-t-il un enregistrement ? et la réponse est oui. La case est cochée. Personne ne fait de suivi.

2. Les usurpations passent encore — sur instruction. p=none n'est pas un filtre plus faible ; c'est une demande explicite aux destinataires : n'agissez pas là-dessus. Un message usurpé échoue l'alignement DMARC exactement comme avant, et le destinataire fait exactement ce que votre enregistrement lui a demandé : livrer.

3. Le courriel usurpé peut avoir l'air propre partout ailleurs. Voici la partie qui compte pour le lecteur technique. Un attaquant qui envoie depuis sa propre infrastructure obtient SPF pass et DKIM pass — pour son domaine d'envoi, dans des en-têtes que peu de gens lisent. Seul DMARC compare ces résultats au nom inscrit dans la ligne From:, et seul DMARC échoue. Si l'adresse IP d'envoi a une bonne réputation, que le message ne contient aucun lien connu comme malveillant et que le texte évite les clichés d'urgence et de virement bancaire que les filtres antipourriel guettent, le seul signal qui reste est « DMARC a échoué sur un domaine qui nous a demandé de ne rien faire ». Beaucoup de filtres n'agiront pas là-dessus. Certains ne le peuvent pas.

Mettez tout ça ensemble et p=none donne à l'attaquant un nom qui paraît digne de confiance sur toutes les listes de vérification, tout en restant entièrement usurpable — y compris envers les propres employés du domaine, dont le serveur de courriel suivra la même instruction.

Nous ne décrivons pas une attaque exotique. Nous décrivons le courriel ordinaire de fraude à la facture, bien écrit.

« Mais p=none est la bonne première étape »

Oui. Nous avons déjà écrit sur l'importance de la surveillance, et rien ici ne change cela. p=none existe pour que vous puissiez activer les rapports, découvrir chaque système qui envoie en votre nom — le fournisseur de paie, le CRM, l'imprimante dont personne ne se souvient — et corriger leur authentification avant de commencer à refuser quoi que ce soit. Sauter cette étape brise du courriel légitime. Ne la sautez pas.

Le problème n'est pas l'étape. C'est que tant d'organisations ne franchissent jamais la suivante. Dans notre étude d'août sur 296 organisations québécoises, 24 % étaient usurpables — aucun enregistrement, ou p=none — et 48 % de plus s'étaient arrêtées à p=quarantine. Nous trouvons régulièrement des enregistrements p=none intouchés depuis des années. Une phase de surveillance qui ne finit jamais n'est pas de la surveillance. C'est une porte ouverte avec un autocollant de conformité dessus.

Combien de temps rester à p=none ?

Notre position : le moins longtemps possible. Pour la plupart des organisations, ça se compte en semaines, pas en mois. Pour une petite, c'est un après-midi.

Si vous êtes une petite organisation, une entreprise à domicile ou un travailleur autonome, vous envoyez probablement du courriel depuis deux ou trois endroits : votre fournisseur de courriel (Microsoft 365 ou Google Workspace), peut-être un outil d'infolettre, peut-être une application de facturation ou de prise de rendez-vous. C'est toute la liste. Trouver ces sources, corriger SPF et DKIM pour chacune et passer à p=reject, c'est quelques heures de travail — une journée au plus. Notre carte des sources de courriel fait la partie « trouver » pour vous : elle lit vos rapports DMARC et vous dit exactement ce qui envoie en votre nom et quoi corriger. N'importe quel consultant TI compétent peut faire le reste le même après-midi. Rien ne justifie qu'une petite entreprise reste à p=none pendant un mois.

Si vous êtes plus gros — une plateforme marketing, un CRM, un fournisseur de paie, un système de billets et l'imprimante dont personne ne se souvient — planifiez-le, mais en semaines :

• Activez les rapports agrégés dès le premier jour (rua=), et lisez-les avec un outil plutôt qu'à la main.
• En deux à quatre semaines, vous devriez connaître chaque source légitime. La plupart des organisations en ont moins de dix. Corrigez SPF et DKIM pour chacune. Notre guide sur ce qu'il faut vraiment changer en est la version courte.
• Passez à p=quarantine dès que vos sources connues passent. Les usurpations vont dans les indésirables plutôt que dans la boîte de réception, et une source légitime oubliée se récupère.
• Passez à p=reject quand les rapports sont calmes. C'est le réglage qui rend l'usurpation de votre nom inutile.
• Dites à vos gens de traiter les semaines à p=none comme une fenêtre d'exposition. Confirmez tout changement de coordonnées bancaires par téléphone, à un numéro que vous aviez déjà. Ce conseil n'expire jamais, mais il compte surtout pendant que votre nom est usurpable.

Peu importe votre taille : si vous êtes à p=none depuis plus d'un trimestre, vous n'êtes plus en phase de surveillance. Vous êtes le fournisseur dans l'histoire de fraude de quelqu'un d'autre.

Vérifiez où vous en êtes

Ça prend une minute et c'est gratuit : vérifiez votre domaine ici. Le résultat vous donne votre politique actuelle et la prochaine étape. S'il dit p=none, regardez la date à laquelle vous l'avez publié — et décidez si vous surveillez encore, ou si vous êtes simplement stationné.