Protégez les domaines qui n'envoient jamais d'email

Ce que ça veut dire

Beaucoup d'entreprises possèdent des domaines qu'elles n'utilisent jamais pour l'email : une variante d'orthographe, un ancien nom de société, un domaine gardé pour un futur projet, une version pays qui redirige simplement vers le site principal.

Un domaine sans enregistrement email ne donne aucune consigne aux serveurs de réception. Les escrocs adorent ces domaines : ils peuvent envoyer du phishing « depuis » eux, et les serveurs de réception n'ont aucune raison claire de le refuser.

Pourquoi c'est important

• Un phishing qui utilise votre marque sur un domaine de réserve abîme quand même votre nom.
• Le backscatter : quand du spam portant votre domaine est rejeté, les messages d'erreur peuvent vous revenir.
• Cela prend cinq minutes et ne coûte rien.

Comment vérifier

Saisissez chaque domaine inutilisé sur /domain-scanner. Un domaine qui n'envoie pas d'email doit afficher un SPF strict, un enregistrement DMARC avec p=reject et aucun MX, ou un « null MX ».

Comment corriger

Ouvrez le fournisseur DNS de chaque domaine inutilisé et ajoutez ces enregistrements.

1. SPF nul : aucun serveur n'a le droit d'envoyer pour ce domaine.

   yourdomain.com  TXT  "v=spf1 -all"

2. DMARC en reject : refuser tout email qui prétend venir de ce domaine.

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s"

   Vous pouvez ajouter rua=mailto:dmarc@yourmaindomain.com pour recevoir des rapports sur les tentatives d'abus. Envoyer les rapports vers une adresse d'un autre domaine peut nécessiter un enregistrement d'autorisation supplémentaire sur ce domaine ; consultez les instructions de votre service de rapports DMARC.
3. Null MX si le domaine ne doit pas non plus recevoir d'emails. Il indique immédiatement aux expéditeurs que le domaine n'accepte aucun email, au lieu de les laisser réessayer pendant des jours :

   yourdomain.com  MX  0  .

   La valeur est un simple point avec la priorité 0. Supprimez d'abord tout autre enregistrement MX. Certaines interfaces DNS n'acceptent pas un point seul ; dans ce cas, n'ayez simplement aucun enregistrement MX.

En option : révoquer le DKIM

Certains experts publient aussi une clé DKIM vide pour tous les sélecteurs, afin que toute signature utilisant le domaine échoue :

*._domainkey.yourdomain.com  TXT  "v=DKIM1; p="

Ce n'est pas obligatoire : le SPF -all plus le DMARC p=reject font déjà échouer tous les emails.

Attention

• Assurez-vous que le domaine n'envoie vraiment jamais rien, pas même un formulaire de site, une imprimante, un outil de facturation ou une vieille boîte mail. Ces enregistrements les bloquent tous.
• N'utilisez pas de null MX sur un domaine qui reçoit des emails, même pour une seule adresse de transfert.
• Faites-le aussi pour les sous-domaines que vous n'utilisez pas : sp=reject sur votre domaine principal les protège tous d'un coup.
• Pensez à renouveler les domaines : un domaine expiré peut être racheté par quelqu'un d'autre, avec tout son historique.

Vérifiez que c'est corrigé

Attendez quelques minutes que le DNS se mette à jour, puis relancez le scanner de domaine sur chaque domaine. Il doit trouver v=spf1 -all, un enregistrement DMARC avec p=reject, et soit le null MX, soit aucun MX. Refaites la vérification à chaque achat d'un nouveau domaine.