C’est quoi … le SPF ?

Bienvenue dans notre série “C’est quoi…”
qui rend le jargon technique compréhensible par tous.

SPF est l’abréviation de Sender Policy Framework, et peut vous aider à vous débarrasser des spams et des emails de phishing sans même avoir besoin de visualiser le contenu du message électronique.

Le SPF permet à une entreprise de faire une déclaration publique concernant les serveurs autorisés à envoyer des emails en son nom, rendant ainsi en théorie plus facile la détection des emails de phishing envoyés par des imposteurs.

La création de faux emails est malheureusement très simple : quand je vous envoie un email, je peux m’identifier comme je le souhaite, en utilisant des en-têtes d’email spéciaux appelés champs d’origine, par exemple :

From: Paul Ducklin <paul@acme.example>
Sender: Paul Ducklin <paul@acme.example>
Reply-to: Paul Ducklin <paul@acme.example>

Ces en-têtes dépendent entièrement de moi, ils sont envoyés juste avant le contenu réel du message. Ainsi, je peux prétendre avoir n’importe quel nom avec l’adresse email d’une entreprise que j’apprécie, pour me donner une impression de légitimité que je ne mérite pas !

Par exemple, si je sais que vous avez récemment acheté des produits auprès d’une entreprise appelée Big Corp, et que j’ai découvert sur le site web de cette dernière que Steve Meone est le directeur commercial affecté à votre région, je pourrais ainsi adapter les en-têtes des emails comme suit :

De: "S.O.Meone" <someone@bigcorp.exemple>
A: Ici Votre Nom <you@exemple.com>

Cher votre nom,

En tant qu’actuel client, vous serez ravi de savoir que l'un de nos partenaires 
offre actuellement 25% de réduction sur l’abonnement de l’année prochaine:

[. . . lien bidon ici . . .]

Cordialement,

Steve Meone

Si ce message arrive dans votre boîte de réception, il sera beaucoup plus crédible qu’un spam envoyé via un service de messagerie web gratuit, ou par entreprise ou depuis un pays dont vous n’avez jamais entendu parler auparavant.

Cette astuce est connue sous le nom de spoofing.

Ainsi, le SPF permet à votre serveur de messagerie de demander à internet : “d’où les messages prétendant venir de bigcorp.example sont-ils censés provenir réellement ?”.

En vérifiant que les emails proviennent des serveurs d’envoi autorisés avant de les accepter en premier lieu, votre propre passerelle de messagerie peut éliminer les messages malveillants qui prétendent venir d’entreprises qui n’ont jamais rien envoyé.

Si vous savez qu’un email provient d’un imposteur, vous n’avez pas besoin de perdre du temps à examiner ce dernier et ses pièces jointes pour savoir s’il s’agit d’un spam, de phishing, d’un malware ou de toute autre acte de cybercriminalité : en effet, vous pouvez le supprimer immédiatement !

Les avantages du Sender Policy Framework

• Les contrôles SPF sont rapides et faciles, et peuvent accélérer le processus de blocage des spams.
• La publication des données SPF appropriées pour votre propre entreprise montre que vous vous souciez réellement de votre sécurité.

Les inconvénients du Sender Policy Framework

• De nombreuses entreprises ont des données SPF manquantes, incomplètes ou inexactes, réduisant ainsi l’efficacité du système.
• Le strict respect de la vérification SPF peut vous empêcher de recevoir des emails de certains clients et prospects.

Billet inspiré de What is… SPF?, sur Sophos nakedsecurity.