Emails envoyés sans chiffrement TLS (STARTTLS)

Ce que ça veut dire

Quand votre serveur livre un email à un autre serveur, les deux peuvent se mettre d'accord pour chiffrer la connexion. Cela s'appelle TLS, et la commande qui le démarre sur une connexion de messagerie normale est STARTTLS.

Votre email a été livré sans chiffrement. Toute personne capable d'observer le réseau entre les deux serveurs aurait pu le lire.

Pourquoi c'est important

• Gmail affiche un cadenas rouge ouvert sur les emails reçus sans chiffrement, ce qui inquiète les lecteurs.
• Gmail et Yahoo attendent des expéditeurs en masse qu'ils utilisent TLS.
• Les emails contiennent souvent des informations personnelles ou professionnelles qui ne devraient pas circuler en clair.
• Delivmail retire une petite partie de la note pour une livraison non chiffrée.

Comment vérifier

• Envoyez un email de test : sur la page d'accueil, copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte ou l'outil que vous voulez vérifier, puis ouvrez le rapport. La ligne « Chiffrement (TLS) » indique si l'email est arrivé chiffré.
• Dans Gmail, ouvrez un email reçu, cliquez sur la petite flèche sous le nom de l'expéditeur et regardez la ligne « sécurité ».

Comment corriger

Si vous utilisez un fournisseur

Google Workspace, Microsoft 365 et tous les outils de newsletter sérieux utilisent TLS automatiquement. Si votre test n'indique pas de TLS, l'email est probablement passé par un autre système : un site web, une imprimante, une application métier ou un ancien serveur relais. Trouvez-le et faites-le envoyer plutôt via votre fournisseur.

Si vous gérez votre propre serveur de messagerie

1. Obtenez un certificat pour le nom de votre serveur, par exemple mail.yourdomain.com. Un certificat gratuit de Let's Encrypt fonctionne très bien.
2. Activez TLS en sortie. Sur Postfix, par exemple :

   smtp_tls_security_level = may
   smtp_tls_loglevel = 1

   Le réglage may chiffre dès que l'autre serveur le permet, ce qui est le cas de presque tous aujourd'hui.
3. Activez aussi TLS en entrée, pour que les autres puissent vous envoyer des emails de façon sécurisée :

   smtpd_tls_cert_file = /etc/letsencrypt/live/mail.yourdomain.com/fullchain.pem
   smtpd_tls_key_file = /etc/letsencrypt/live/mail.yourdomain.com/privkey.pem
   smtpd_tls_security_level = may

4. Rechargez le serveur et vérifiez dans ses journaux les lignes qui mentionnent TLS.
5. Renouvelez le certificat automatiquement. Un certificat expiré peut casser la livraison chiffrée.

Si vous envoyez depuis une application

Dans les réglages SMTP de votre application, choisissez le port 587 avec STARTTLS, ou le port 465 avec SSL/TLS. Évitez le port 25 sans chiffrement. Cela protège la connexion entre votre application et votre fournisseur ; votre fournisseur gère ensuite le TLS jusqu'au destinataire.

Vérifiez que c'est corrigé

Envoyez un nouvel email de test depuis la page d'accueil avec le même serveur ou le même outil. La ligne « Chiffrement (TLS) » doit indiquer oui. Dans Gmail, le cadenas rouge doit avoir disparu. Si elle indique toujours non, vérifiez que l'email est bien parti par le serveur que vous avez modifié, et cherchez dans ses journaux des erreurs TLS comme un certificat expiré ou non reconnu.