L'authentification email des sous-domaines

Ce que ça veut dire

Un sous-domaine est un nom placé sous votre domaine, comme news.yourdomain.com ou mail.yourdomain.com. Les entreprises s'en servent pour séparer les newsletters, les emails de la boutique ou les outils de support de leur messagerie principale.

Chaque enregistrement email se comporte différemment avec les sous-domaines :

• Le SPF n'est pas hérité. Le SPF de yourdomain.com ne couvre pas news.yourdomain.com. Un sous-domaine qui envoie des emails a besoin de son propre enregistrement SPF.
• Les clés DKIM se trouvent sous le domaine signataire : selector._domainkey.news.yourdomain.com si l'email est signé pour le sous-domaine.
• Le DMARC est hérité. Si un sous-domaine n'a pas d'enregistrement DMARC, les serveurs de réception utilisent celui du domaine principal. Sa balise sp= fixe la politique des sous-domaines ; sans elle, p= s'applique aussi à eux.

Pourquoi c'est important

• Un outil de newsletter sur un sous-domaine sans SPF ni DKIM échoue à l'authentification.
• Les escrocs peuvent inventer des sous-domaines comme billing.yourdomain.com pour envoyer de faux emails si votre DMARC ne les couvre pas.
• Passer le domaine principal en p=reject touche aussi les sous-domaines : ils doivent donc être prêts.

Comment vérifier

• Utilisez le scanner de domaine sur /domain-scanner avec le nom du sous-domaine pour voir son SPF, son DMARC et ses MX.
• Envoyez un email de test depuis l'outil qui utilise le sous-domaine vers l'adresse de test de la page d'accueil. Le rapport indique pour quel domaine le SPF et le DKIM ont été vérifiés, et si le DMARC est aligné.

Comment corriger

1. Ajoutez un SPF sur chaque sous-domaine qui envoie, avec uniquement les services qui envoient pour lui :

   news.yourdomain.com  TXT  "v=spf1 include:spf.newsletter-example.com ~all"

   Beaucoup de services d'email s'en occupent pour vous avec un sous-domaine personnalisé de « return path » ou de « bounce » ; suivez leur page de configuration.
2. Configurez le DKIM pour le sous-domaine dans l'outil d'envoi, et publiez l'enregistrement qu'il vous donne, au nom qu'il vous donne.
3. Choisissez la politique DMARC des sous-domaines sur le domaine principal :

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=quarantine; sp=reject; rua=mailto:dmarc@yourdomain.com"

   Ici, le domaine principal est en quarantaine et tous les sous-domaines sont rejetés quand ils échouent.
4. Donnez à un sous-domaine sa propre politique s'il en a besoin d'une différente, par exemple pendant que vous testez un nouvel outil :

   _dmarc.news.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com"

À propos de l'alignement

Par défaut, le DMARC utilise un alignement « souple » (relaxed) : un email dont le From est news.yourdomain.com passe si le SPF ou le DKIM passe pour n'importe quel nom sous yourdomain.com. L'alignement strict (adkim=s, aspf=s) exige exactement le même nom.

Conseils

• Les sous-domaines qui n'envoient jamais d'email doivent aussi être protégés : un sp= strict les couvre tous d'un coup.
• Lisez vos rapports DMARC avant de durcir sp=, pour trouver les sous-domaines oubliés. La surveillance DMARC de Delivmail, dans le tableau de bord payant, peut vous aider.

Vérifiez que c'est corrigé

Au bout de quelques minutes, lancez le scanner de domaine sur le sous-domaine, puis envoyez un nouvel email de test depuis l'outil qui l'utilise. Le SPF, le DKIM et le DMARC doivent passer pour le sous-domaine.