Contexte du problème
Depuis le début de l’année, le site signale une hausse soudaine de messages indésirables provenant d’adresses gmail.com qui n’appartiennent à aucun compte Google réel. Selon les statistiques publiques de Google, plus de 1,5 milliard d’e‑mails sont traités chaque jour, ce qui en fait une cible attractive pour les spammeurs qui exploitent la notoriété du domaine.
Le propriétaire du site a donc configuré son filtre pour supprimer systématiquement tout courrier dont l’enveloppe d’expéditeur se termine par @gmail.com. Cette décision repose sur l’observation que la plupart des commentaires légitimes utilisent des adresses alternatives, comme anon.com, et que la vérification de la validité de l’adresse n’est pratiquement jamais effectuée.
Mécanismes de falsification d’adresse
La falsification d’adresse, ou spoofing, consiste à modifier l’en‑tête From: d’un message SMTP pour y insérer n’importe quel domaine. Sans l’application stricte de SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) et DMARC (Domain-based Message Authentication, Reporting & Conformance), le serveur récepteur ne peut pas distinguer un @gmail.com légitime d’un faux. Gmail publie un enregistrement SPF qui autorise uniquement les serveurs Google à envoyer pour le domaine, mais de nombreux serveurs de réception ne valident pas ce mécanisme, ce qui laisse la porte ouverte aux spammeurs.
Un test simple avec dig txt gmail.com montre l’enregistrement SPF v=spf1 include:_spf.google.com ~all. Si le serveur destinataire ignore ce résultat, le message passe les contrôles d’authentification et apparaît comme provenant de Gmail, même s’il a été généré par un serveur tiers.
Mise en œuvre du filtrage
# Exemple de règle SpamAssassin pour rejeter les faux gmail.com
header FROM_GMAIL From =~ /@gmail\.com$/
score FROM_GMAIL 5.0
discard FROM_GMAIL # supprime le message
Cette règle examine l’en‑tête From et attribue un score élevé, déclenchant l’action discard. Le même principe s’applique dans Postfix avec header_checks : /^From:.*@gmail\.com/ DISCARD. L’avantage est la simplicité ; le inconvénient réside dans le risque de faux positifs, notamment pour les utilisateurs légitimes qui utilisent réellement Gmail.
Limites et alternatives
Le blocage complet de @gmail.com élimine le spam immédiat, mais il sacrifie la capacité de recevoir des messages authentiques depuis ce domaine. Une alternative consiste à activer la validation DMARC en mode reject pour les messages qui échouent SPF ou DKIM, ce qui conserve les e‑mails valides tout en filtrant les falsifications. Cette approche nécessite toutefois que le serveur de réception supporte la vérification DMARC et que les rapports soient correctement analysés.
Enfin, la mise en place d’une vérification d’adresse à la soumission (envoi d’un e‑mail de confirmation) réduirait le besoin de filtrer par domaine. Le coût opérationnel de cette étape est limité, mais il n’est pas présent dans le processus actuel du site, ce qui explique le recours à la mesure radicale de blocage du domaine.
