{"id":22230,"date":"2017-10-25T20:26:21","date_gmt":"2017-10-26T01:26:21","guid":{"rendered":"https:\/\/www.vircom.com\/blog\/comment-effectuer-une-verification-denregistrement-dmarc\/"},"modified":"2017-10-25T20:26:21","modified_gmt":"2017-10-26T01:26:21","slug":"comment-effectuer-une-verification-denregistrement-dmarc","status":"publish","type":"post","link":"https:\/\/www.vircom.com\/fr\/blog\/comment-effectuer-une-verification-denregistrement-dmarc\/","title":{"rendered":"Comment effectuer une v\u00e9rification d\u2019enregistrement DMARC"},"content":{"rendered":"

Maintenant que DMARC est largement d\u00e9ploy\u00e9, voici quelques astuces utiles \u00e0 avoir dans votre manche lorsque vous recherchez leurs enregistrements DNS pertinents. Les r\u00e9solutions du DMARC impliquent \u00e0 la fois des r\u00e9solutions du FPS et du DKIM. Souvent, les administrateurs informatiques devront r\u00e9soudre les d\u00e9faillances SPF et\/ou DKIM pour d\u00e9terminer pourquoi un enregistrement DMARC<\/a> \u00e9choue \u00e9galement \u00e0 la validation. Sous Windows, un moyen rapide de v\u00e9rifier les enregistrements DMARC est d\u2019utiliser nslookup \u00e0 partir de la bonne vieille invite de commande. Cliquez sur \u00ab Touche du logo Windows + R \u00bb pour faire appara\u00eetre la fen\u00eatre de commande Ex\u00e9cuter et tapez cmd, appuyez sur Entr\u00e9e et votre invite de commande appara\u00eetra. Notez que nslookup n\u2019est pas exclusif \u00e0 Windows, c\u2019est juste que l\u2019exemple que je d\u00e9crit est fait sous Windows et que nslookup est l\u2019outil de requ\u00eate par d\u00e9faut. <\/p>\n

Examinons la capture d\u2019\u00e9cran suivante en d\u00e9tail :<\/p>\n

\"Comment<\/a>Notez que le texte de couleur rouille ci-dessus n\u2019est fourni qu \u00ab \u00e0 des fins explicatives et a \u00e9t\u00e9 ajout\u00e9 par moi apr\u00e8s avoir pris la capture d \u00bb \u00e9cran. <\/em><\/p>\n

Passons-les en revue \u00e9tape par \u00e9tape.<\/p>\n

1. Lancez nslookup<\/p>\n

2. Bien que vous puissiez faire toutes les recherches DNS \u00e0 l\u2019aide de votre serveur DNS local, dans cet exemple, je sp\u00e9cifie le serveur DNS que j\u2019aimerais interroger comme 8.8.8.8 (un serveur DNS public de Google). Souvent, lorsque vous r\u00e9solvez des probl\u00e8mes DNS pour vos propres domaines, il est utile d\u2019interroger des serveurs DNS externes, car vos serveurs DNS internes peuvent ne pas refl\u00e9ter ce que le monde voit. La commande est serveur 8.8.8.8 <\/p>\n

3. Tous les enregistrements SPF\/DKIM et DMARC sont des enregistrements TXT, donc je pr\u00e9cise ici que je veux des r\u00e9ponses d\u2019enregistrements TXT. La commande est set type=TXT <\/p>\n

4. J\u2019interroge les enregistrements TXT pour gmail.com. Ici vous voyez la r\u00e9ponse \u00ab v=sp1 redirect=_spf.google.com \u00bb. Vous pouvez rechercher davantage les enregistrements TXT SPF de _spf.google.com en tapant simplement _spf.google.com. Expliquer les enregistrements SPF d\u00e9passe le cadre de cet article, mais il existe plusieurs validateurs SPF en ligne (p. ex. http:\/\/www.kitterman.com\/spf\/validate.html) si vous souhaitez analyser votre dossier SPF en d\u00e9tail. En bref, compte tenu de l\u2019adresse IP du serveur de messagerie qui se connecte, en examinant de mani\u00e8re r\u00e9cursive l\u2019enregistrement SPF du domaine du chemin de retour (MAIL FROM), on v\u00e9rifie la pr\u00e9sence de l\u2019adresse IP dans la liste des adresses IP autoris\u00e9es dans les champs ip4 ou ip6 de l\u2019enregistrement SPF. La capture d\u2019\u00e9cran suivante montre cette recherche r\u00e9cursive pour gmail.com : <\/p>\n

Une v\u00e9rification SPF est valide si l\u2019adresse IP du MTA de connexion figure dans la liste des adresses autoris\u00e9es. Revenons maintenant \u00e0 la capture d\u2019\u00e9cran pr\u00e9c\u00e9dente et continuons \u00e0 suivre les \u00e9tapes. <\/p>\n

\"V\u00e9rifier<\/a><\/p>\n

[cta id=\u00a0\u00bb18654″]<\/p>\n

5. Ici, j\u2019interroge l\u2019enregistrement DKIM pour gmail.com. Pour ce faire, on sp\u00e9cifie le s\u00e9lecteur ajout\u00e9 \u00e0 _domainkey.gmail.com. Dans cet exemple, le s\u00e9lecteur est 20161025. La requ\u00eate est donc faite pour 20161025._domainkey.gmail.com. Les s\u00e9lecteurs se trouvent dans les enregistrements DKIM qui se trouvent dans les en-t\u00eates des courriels. La signature DKIM gmail que j\u2019ai utilis\u00e9e pour cet exemple \u00e9tait : <\/p>\n

Signature DKIM : v=1; a=rsa-sha256; c = d\u00e9tendu\/d\u00e9tendu;<\/p>\n

d=gmail.com; s=20161025;<\/p>\n

h=MIME-version :en-r\u00e9ponse-\u00e0 :r\u00e9f\u00e9rences :de :date :message-id :sujet :\u00e0;<\/p>\n

bh=JWVD5+eW+yPgYlj8T\/c7+8MGFAiHueou4sunWzvtl2U=;<\/p>\n

b=tRh2dTdfC5zKQB76UDl0c7g0Ld9FJlYbSc95JzVHOz4DdNfjIj\/2rvN7YzuHILFM0L<\/p>\n

OO1LGCq5kVK0g1vwAABV8KGcYl\/LFD+bC7gu4AHuXeM282CCKDHsemF7AE\/mCTNL3VPe<\/p>\n

j7YcXpIe+AZwvF\/A8+RdDmvcWKEpwZomfvcyGTo5CDa0LeAAiliwE+jsN5uLIlwVg0fA<\/p>\n

ELfdkXzzCY1mg8g\/HSnvx4+NCypiCdkQXkyTeqw6jbH8EdcGomHe9sTSyxUKOS2TbvKs<\/p>\n

Snin4uQd\/0aaiIWPc5\/cC6f1pHeXHpNzRm\/pIWBVjBl3mOd5MtNUcvdlGuY1pFUYnUW+<\/p>\n

3VRQ==<\/p>\n

6. Notez que la partie s=20161025 ci-dessus est le s\u00e9lecteur utilis\u00e9 pour faire la requ\u00eate. Le r\u00e9sultat de la requ\u00eate nous donne la cl\u00e9 publique (champ p=) qui peut \u00eatre utilis\u00e9e pour d\u00e9chiffrer le hachage fourni dans la signature DKIM afin que l\u2019on puisse valider que les en-t\u00eates et le corps sp\u00e9cifi\u00e9s dans l\u2019en-t\u00eate DKIM n\u2019ont pas \u00e9t\u00e9 falsifi\u00e9s. <\/p>\n

7. Enfin, nous demandons la politique DMARC. Cela se fait simplement en pr\u00e9posant _dmarc au domaine gmail.com, pour obtenir _dmarc.gmail.com. Le champ p= est int\u00e9ressant ici. p peut \u00eatre aucun, rejeter ou mettre en quarantaine. \u00ab Aucun \u00bb signifie ne rien faire en cas d\u2019\u00e9chec de validation DMARC, c\u2019est-\u00e0-dire laisser passer le courriel. Rejeter signifie ne pas transmettre le message. \u00ab quarantaine \u00bb signifie envoyer le message \u00e0 la quarantaine des utilisateurs finaux. Pour qu\u2019une validation DMARC r\u00e9ussisse, les validations SPF et\/ou DKIM doivent r\u00e9ussir et le domaine de l\u2019un ou l\u2019autre des algorithmes de passage (domaine du chemin de retour (MAIL FROM) pour SPF, domaine sp\u00e9cifi\u00e9 dans le champ d= de la signature DKIM pour DKIM) doit s\u2019aligner avec l\u2019en-t\u00eate du domaine. Les alignements peuvent \u00eatre stricts ou assouplis selon la pr\u00e9sence des champs adkim= et aspf=. Si ces valeurs sont s, cela signifie qu\u2019un alignement strict est n\u00e9cessaire (c\u2019est-\u00e0-dire que les domaines doivent correspondre exactement). S\u2019il s\u2019agit de valeurs r (par d\u00e9faut), les sous-domaines peuvent \u00e9galement correspondre aux domaines. Les enregistrements DMARC sont g\u00e9n\u00e9ralement assez simples, mais avec seulement un champ p= et un champ rua. Le champ rua est pour sp\u00e9cifier l\u2019adresse courriel o\u00f9 les rapports quotidiens doivent \u00eatre envoy\u00e9s. La plupart des autres champs restants sont destin\u00e9s \u00e0 sp\u00e9cifier les types et la fr\u00e9quence des rapports que l\u2019adresse \u00e9lectronique rua s\u2019attend \u00e0 recevoir. <\/p>\n

 <\/p>\n

modusGate est une solution de s\u00e9curit\u00e9 des courriels prim\u00e9e<\/a> qui prot\u00e8ge d\u00e9sormais les utilisateurs \u00e0 l\u2019aide de DMARC. Contactez-nous<\/a> pour en savoir plus.<\/em><\/p>\n