Quelqu'un envoie de faux emails avec votre domaine (usurpation)

Ce que ça veut dire

L'email a été conçu sans preuve de l'identité de l'expéditeur. N'importe qui peut écrire votre adresse dans la ligne From, comme n'importe qui peut écrire n'importe quelle adresse d'expéditeur au dos d'une lettre papier. C'est ce qu'on appelle l'usurpation (spoofing).

Signes que cela vous arrive :

• Vous recevez des messages d'erreur pour des emails que vous n'avez jamais envoyés.
• Des clients ou des partenaires vous disent avoir reçu d'étranges factures, demandes de paiement ou liens « de votre part ».
• Les rapports DMARC montrent des serveurs que vous ne connaissez pas qui envoient avec votre domaine.

Pourquoi c'est important

Les emails usurpés servent au phishing et à la fraude à la facture. Ils nuisent à vos clients et à votre marque, et peuvent abîmer la réputation de votre domaine auprès des fournisseurs de messagerie.

Remarque : si votre propre boîte mail a été piratée, les emails viennent vraiment de vous. Changez d'abord le mot de passe, activez la connexion en deux étapes et vérifiez les règles de transfert.

Comment vérifier

• Utilisez le scanner de domaine sur /domain-scanner : vérifiez que SPF, DKIM et DMARC existent, et regardez votre politique DMARC.
• Lisez les rapports DMARC : ils listent chaque IP qui a envoyé des emails avec votre domaine et indiquent si elle a réussi les vérifications. La surveillance DMARC de Delivmail, dans le tableau de bord payant, les reçoit et les résume pour vous.
• Si vous avez un email suspect, regardez ses en-têtes : un email qui échoue au SPF et au DKIM pour votre domaine n'est pas le vôtre.

Comment corriger

1. Configurez le SPF et le DKIM pour chaque service qui envoie légitimement pour vous.
2. Publiez un DMARC en mode surveillance si vous n'en avez pas encore :

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com"

3. Lisez les rapports pendant deux à quatre semaines. Classez les sources en « à moi » (corrigez leur SPF ou DKIM) et « pas à moi » (usurpation).
4. Passez en quarantine une fois que tous vos vrais expéditeurs passent :

   v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com

5. Passez ensuite en reject, qui demande aux destinataires de refuser les emails usurpés :

   v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com

6. Protégez vos autres domaines : les domaines qui n'envoient jamais d'email doivent avoir v=spf1 -all et un enregistrement DMARC avec p=reject.
7. Continuez à surveiller. Les nouveaux outils que vous ajouterez plus tard doivent être authentifiés, sinon p=reject les bloquera.

Ce que le DMARC ne peut pas faire

Le DMARC protège votre domaine exact. Il n'arrête pas les domaines ressemblants comme yourdomaín.com ou yourdomain-billing.com. Prévenez vos clients, et signalez les faux domaines à leur registraire.

Vérifiez que c'est corrigé

Les modifications DNS ne sont pas instantanées. La plupart sont visibles en quelques minutes, mais certains fournisseurs mettent jusqu'à 24 à 48 heures.

Relancez le scanner de domaine : la politique DMARC doit afficher reject. Envoyez un email de test depuis la page d'accueil pour confirmer que vos propres emails passent toujours. Au cours des semaines suivantes, les rapports DMARC doivent montrer les emails usurpés comme refusés.