Présentation de DMARC

DMARC (Domain-based Message Authentication, Reporting et Conformance) est un enregistrement DNS gratuit qui indique aux serveurs de messagerie ce qu'ils doivent faire avec les e-mails qui n'authentifient pas correctement en tant qu'émanant de votre domaine : les signaler, les mettre en quarantaine ou les rejeter purement et simplement.

Implémentation de DMARC

Malgré son existence depuis 2012, seulement 30,362 des 67,336 domaines analysés ont un enregistrement DMARC, et parmi ceux-ci, seuls 10,963 (29,7 %) font réellement respecter une politique de sécurité, avec p=reject ou p=quarantine.

La majorité des domaines (15,709, soit 42,5 %) sont configurés avec p=none, ce qui signifie qu'ils collectent des données d'authentification mais ne demandent pas aux systèmes de messagerie de mettre en quarantaine ou de rejeter les messages qui échouent à l'authentification DMARC.

Problèmes d'implémentation

Les administrateurs système sont confrontés à un problème mécanique lorsqu'ils tentent de passer de la surveillance à l'application de la politique de sécurité. Les rapports agrégés quotidiens (rua=) listent toutes les sources qui ont envoyé des e-mails prétendant provenir du domaine, qu'ils aient réussi ou échoué à l'authentification.

Ces rapports contiennent souvent des adresses de messagerie uniques et parfois hachées, ce qui rend difficile pour les administrateurs de déterminer quelles sources sont légitimes et lesquelles doivent être bloquées.

Analyse des résultats

Au total, 46,071 domaines (68,4 %) n'ont pas d'enregistrement DMARC ou n'ont pas de politique de sécurité appliquée. Cela montre que la publication d'un enregistrement DMARC n'est plus le principal obstacle à l'adoption ; le passage de la surveillance à l'application de la politique de sécurité est désormais le défi majeur.

Exemple de configuration DMARC :
   _dmarc.example.com. IN TXT "v=DMARC1; p=reject; pct=100; rua=mailto:dmarc@example.com"

Les résultats montrent également que les pays ont des taux d'application de la politique de sécurité différents, les États-Unis et le Royaume-Uni ayant les plus hauts taux de p=reject.

Enfin, l'analyse a également révélé que les mécanismes d'authentification SPF et DKIM sont plus largement adoptés que DMARC, mais que MTA-STS, DNSSEC et BIMI sont moins utilisés.