Messagerie & usurpation

MX et priorités, résolution effective de chaque hôte, réponse SMTP, proposition de STARTTLS et certificat présenté.

Un MX qui ne résout plus fait perdre du courrier en silence ; un MX qui refuse TLS le laisse lisible en transit.

Présence et unicité de l’enregistrement, mécanisme final, nombre de requêtes DNS engendrées par la chaîne d’includes, includes cassés.

Sans SPF, rien ne dit qui peut écrire pour vous. Et au-delà de dix requêtes DNS, la norme impose l'abandon de l'évaluation : le SPF cesse alors de protéger, sans que rien ne l'annonce.

Sélecteurs effectivement publiés, type et longueur de clé, clés révoquées laissées en place, capacité de rotation.

C'est la seule signature qui survit à une redirection. Sans DKIM, un message légitime transféré échoue au contrôle DMARC et part en indésirable.

Présence, politique appliquée, proportion de messages soumis à la politique, modes d’alignement, destinataires des rapports agrégés.

Une politique de simple surveillance n'instruit personne : les serveurs récepteurs constatent l'usurpation et la délivrent quand même.

Cohérence entre le domaine d'enveloppe, l'adresse affichée à l'utilisateur et le domaine qui signe.

SPF et DKIM peuvent tous deux réussir alors que DMARC échoue, si les domaines ne s'alignent pas. C'est l'erreur de configuration la plus contre-intuitive du lot.

Politique MTA-STS réellement servie en HTTPS, mode déclaré, correspondance avec les MX, présence du canal de rapport TLS.

Sans MTA-STS, un intermédiaire peut supprimer l'offre de chiffrement et lire le courrier en clair. Le serveur émetteur n'a aucun moyen de s'en apercevoir.

Variantes typographiques, caractères visuellement identiques, extensions voisines — et parmi elles, celles qui ont un MX actif.

Un domaine sosie sans MX est de la spéculation. Avec un MX actif, c'est une fraude au virement en préparation.

Présence du domaine et de ses adresses d’envoi dans les listes de blocage publiques les plus consultées.

Un domaine listé voit ses messages rejetés quelle que soit la qualité de son authentification. La cause est souvent un envoi passé, jamais nettoyé.