Authentification de l'expéditeur de courriel

Définition

L'authentification de l'expéditeur de courriel désigne l'ensemble des mécanismes techniques permettant de vérifier qu'un message électronique provient réellement du domaine qu'il prétend représenter, et non d'un usurpateur. Elle répond à la faiblesse structurelle du protocole SMTP, conçu à l'origine sans vérification d'identité, qui permet à un attaquant de falsifier l'adresse d'expéditeur, technique connue sous le nom d'usurpation d'e-mail et référencée MITRE ATT&CK T1585.002 pour la préparation de comptes usurpés. Trois standards complémentaires composent cette authentification : SPF, qui publie dans le DNS la liste des serveurs autorisés à envoyer pour un domaine ; DKIM, qui signe cryptographiquement les en-têtes du message avec une clé privée vérifiable via une clé publique DNS ; et DMARC, qui définit la politique à appliquer lorsque SPF ou DKIM échouent, tout en générant des rapports d'agrégation. Ces mécanismes réduisent significativement les risques de phishing, de compromission de messagerie professionnelle (BEC) et d'usurpation de marque. Leur déploiement correct nécessite un audit préalable de tous les émetteurs légitimes, y compris les prestataires tiers comme les outils marketing ou les systèmes de facturation, sous peine de blocages non désirés. L'ANSSI et les référentiels NIST SP 800-177 recommandent leur mise en œuvre systématique. Une authentification robuste de l'expéditeur constitue un prérequis pour toute politique de messagerie sécurisée en entreprise.