Liste de contrôle : mettre votre e-mail en ordre

Module 8: Déménager et mettre votre domaine en ordre · Temps de lecture : 13 minutes

Objectif pédagogique : après cette leçon, vous pourrez contrôler de bout en bout la messagerie de votre propre domaine à l'aide d'une liste de contrôle fixe, expliquer le résultat obtenu et établir une liste d'actions dans le bon ordre.

Notions clés : liste de contrôle, réception (MX, serveur de messagerie, null MX), connexion (TLS, certificat, ports 993/465/587), envoi (SPF, DKIM, DMARC), le serveur d'envoi (PTR, FCrDNS, listes de blocage), remise chiffrée (MTA-STS, TLS-RPT, DANE), boîtes mail et adresses, sécurité, liste d'actions, entretien périodique

Pourquoi un ordre fixe ?

Vous avez vu dans cette formation de nombreux éléments séparés. Dans la pratique, ils sont liés entre eux : une politique DMARC n'a aucun sens si le SPF n'est pas valide, et un bel enregistrement SPF ne sert à rien si le MX pointe vers un serveur qui n'existe pas. C'est pourquoi vous parcourez la liste de contrôle du bas vers le haut de la chaîne : d'abord si le courrier peut arriver, ensuite si vous vous connectez de façon sécurisée, puis si votre courrier envoyé est digne de confiance, et enfin seulement les affinements.

La formation DNS propose, à la leçon 8.5, une liste de contrôle pour l'ensemble du domaine (enregistrement, serveurs de noms, site web). Cette liste de contrôle ci-présente approfondit uniquement la messagerie.

Pour chaque point figurent : ce que vous contrôlez, comment (avec un outil ou une requête DNS) et quand c'est correct. Dans l'exercice final, le programme effectue automatiquement les mêmes contrôles et compare le résultat avec ce que vous avez trouvé.

Partie A : le courrier peut-il arriver ?

A1. Enregistrements MX. Interrogez MX <domaine>. C'est correct s'il y a au moins un MX, et que l'hôte avec le chiffre le plus bas possède un enregistrement A ou AAAA. Un MX pointant vers un nom sans adresse signifie que le courrier n'arrive pas.
Cas particulier : 0 . est un null MX (RFC 7505). Cela signifie « ce domaine ne reçoit pas de courrier ». C'est correct pour un domaine qui ne reçoit jamais de courrier, comme example.com, et incorrect pour votre domaine professionnel.

A2. Le serveur de messagerie répond. Le premier hôte MX accepte les connexions sur le port 25. Depuis votre domicile, vous ne pouvez souvent pas tester cela vous-même, car de nombreux fournisseurs d'accès internet bloquent le trafic sortant sur le port 25. Un outil en ligne ou l'exercice final le fait pour vous. C'est correct si le serveur donne un message d'accueil 220 et propose STARTTLS.

A3. Courrier de test depuis l'extérieur. Envoyez un e-mail depuis une adresse extérieure à votre domaine. Arrive-t-il, et pas dans votre dossier spam ?

Partie B : pouvez-vous vous connecter de façon sécurisée ?

B1. IMAP sur le port 993 avec le nom de serveur que vous utilisez dans votre programme de messagerie. C'est correct si la connexion TLS réussit, si le certificat est valide, s'il contient le nom du serveur et qu'il n'expire pas dans les 14 jours.

B2. SMTP pour l'envoi : port 465 (TLS direct) et/ou 587 (STARTTLS). C'est correct si au moins l'un des deux fonctionne avec un certificat valide pour le nom du serveur, et que le serveur ne propose la connexion (AUTH) qu'une fois la connexion chiffrée.

Si vous obtenez une erreur ici, vérifiez d'abord que vous utilisez le nom de serveur de votre hébergeur et non un mail.<domaine> personnel sans certificat (leçon 2.1 et erreur 9 à la leçon 8.3).

Partie C : votre courrier envoyé est-il digne de confiance ?

C1. SPF. Interrogez TXT <domaine>. C'est correct si :

• il existe exactement un enregistrement avec v=spf1 ;
• il se termine par ~all ou -all (jamais +all ni ?all) ; pour les débutants, ~all est recommandé, -all si vous êtes certain que tous les expéditeurs y figurent ;
• le comptage récursif des recherches (include, a, mx, ptr, exists, redirect, y compris à l'intérieur de chaque include) ne dépasse pas 10, et au maximum 2 recherches reviennent vides.

C2. DKIM. Un sélecteur par expéditeur (votre serveur de messagerie, Microsoft 365, votre service de newsletter, votre boutique en ligne). Vous le trouvez dans les en-têtes d'un e-mail provenant de cet expéditeur (s= et d= dans le DKIM-Signature, leçon 1.5). Interrogez TXT <sélecteur>._domainkey.<domaine> (éventuellement via un CNAME). C'est correct s'il y a un p= non vide, avec une clé de 2048 bits ou plus pour RSA (ou une clé ed25519).

C3. DMARC. Interrogez TXT _dmarc.<domaine>. C'est correct s'il existe exactement un enregistrement avec v=DMARC1, avec un p= valide (none, quarantine ou reject) et une adresse de rapport (rua=mailto:...). La recommandation : commencez par p=none et lisez les rapports ; ce n'est que lorsque tous les expéditeurs sont alignés que vous passez à quarantine, puis à reject (leçon 4.4). p=none sans adresse de rapport est une occasion manquée : vous ne voyez alors rien.

C4. Alignement en pratique. Envoyez un e-mail depuis chaque expéditeur vers une adresse Gmail ou Outlook.com personnelle et lisez Authentication-Results : dmarc=pass ?

Partie D : le serveur d'envoi

D1. DNS inversé. Recherchez dans les en-têtes d'un e-mail que vous avez vous-même envoyé l'adresse IP du serveur qui a transmis le courrier vers l'extérieur (la ligne Received la plus basse provenant de l'extérieur de votre propre appareil, leçon 1.5). Interrogez le PTR (dig -x <ip>). C'est correct s'il existe un nom, et que ce nom pointe à nouveau vers la même IP (FCrDNS, leçon 5.1). Les serveurs MX de votre domaine doivent eux aussi disposer d'un PTR correct.

D2. Listes de blocage. Faites vérifier cette IP d'envoi (et l'IP de votre MX) sur les listes de blocage connues. C'est correct si elle n'y figure nulle part. Si elle y figure : trouvez et résolvez d'abord la cause, puis seulement ensuite demandez le retrait (leçon 5.2). Sur un hébergement mutualisé, c'est une tâche pour votre hébergeur : communiquez-lui l'IP et le message d'erreur.

Partie E : affinement (facultatif)

E1. MTA-STS et TLS-RPT. TXT _mta-sts.<domaine> et TXT _smtp._tls.<domaine>. Non obligatoire. Si vous avez MTA-STS, le fichier de politique doit être accessible sur https://mta-sts.<domaine>/.well-known/mta-sts.txt et correspondre à votre MX (leçon 5.4).

E2. DANE. Uniquement si votre domaine et le MX sont signés avec DNSSEC : enregistrements TLSA sur _25._tcp.<hôte-mx>. En général, votre hébergeur de messagerie s'en charge pour son propre MX.

Partie F : boîtes mail, adresses et sécurité

Aucun programme ne peut contrôler cela à votre place, mais cela fait bien partie de la liste :

• F1. Pas de catch-all ; uniquement des alias et des redirections que vous utilisez consciemment ; aucune redirection vers Gmail ou d'autres adresses externes (leçon 3.3).
• F2. Aucune boîte mail au-delà de 80 % de son quota (leçon 3.2).
• F3. Tout le monde travaille avec IMAP, pas POP3 sur plusieurs appareils (leçon 1.3).
• F4. Des mots de passe forts et uniques dans un gestionnaire de mots de passe ; pas d'anciens appareils avec d'anciens mots de passe ; pas de règles de redirection inconnues dans les boîtes mail (leçon 3.4).
• F5. Les formulaires du site web envoient via SMTP avec votre propre adresse comme From (leçon 7.3) ; les newsletters passent par un service disposant de son propre DKIM (leçon 7.1).

Du résultat à la liste d'actions

Après le contrôle, vous avez des points verts, orange et rouges. Traitez-les dans cet ordre :

1. Rouge dans la partie A ou B : le courrier n'arrive pas ou vous ne pouvez pas vous connecter de façon sécurisée. À résoudre en premier.
2. Rouge dans la partie C : SPF invalide (deux enregistrements, plus de dix recherches), DKIM manquant pour un expéditeur, deux enregistrements DMARC. Cela détermine si votre courrier arrive.
3. Rouge dans la partie D : pas de PTR ou une inscription sur une liste de blocage. Généralement une tâche pour votre hébergeur.
4. Orange : p=none sans rapports, ?all, une clé de 1024 bits, un certificat qui expire bientôt.
5. Parties E et F : améliorations et entretien.

Planifiez ensuite un entretien : reprenez la liste de contrôle chaque trimestre, et toujours après avoir connecté un nouveau service ou effectué un déménagement. Lisez vos rapports DMARC chaque mois, ou faites-vous alerter par un service de rapports lorsqu'une nouvelle source apparaît.

En pratique : les outils

Pour ces contrôles, vous pouvez utiliser différents outils. Chez WebOké, il s'agit par exemple du Vérificateur e-mail et de la Santé du domaine gratuits (également pour les domaines qui ne sont pas hébergés chez WebOké) ; des outils indépendants comme le test e-mail d'internet.nl et MXToolbox effectuent des contrôles comparables. Aucun outil ne voit tout : vous devez presque toujours indiquer vous-même un sélecteur DKIM, et vous récupérez l'IP d'envoi dans vos propres en-têtes.

Résumé

• Contrôlez dans l'ordre de la chaîne : réception, connexion, confiance, serveur d'envoi, affinement, gestion.
• Réception : MX avec un hôte existant, null MX uniquement pour les domaines sans courrier.
• Connexion : certificat valide sur 993 et 465/587 pour le nom de serveur que vous utilisez.
• Confiance : un seul SPF sous dix recherches avec ~all/-all, DKIM par expéditeur, un seul DMARC avec rua, et alignement en pratique.
• Serveur d'envoi : PTR avec FCrDNS et absence de listes de blocage. Établissez une liste d'actions ordonnée et répétez le contrôle chaque trimestre.

Quiz

Exercice

Exercice Z8.4 : Exercice final : votre propre domaine. Indiquez votre propre domaine (si vous n'en avez pas, utilisez internet.nl comme exemple), le nom de serveur que vous utilisez dans votre programme de messagerie, le ou les sélecteurs DKIM que vous avez trouvés dans vos en-têtes et l'adresse IP de votre serveur d'envoi. Renseignez pour chaque point, des parties A à E, ce que vous avez vous-même trouvé. Le programme effectue lui-même chaque sous-contrôle et affiche, pour chaque point, vert, orange ou rouge à côté de votre réponse, avec un lien vers la leçon. Rédigez ensuite votre liste d'actions (cinq points maximum, dans l'ordre).

Exercice O8.4 : Vérifier la partie F. Répondez aux cinq questions de la partie F pour vos propres boîtes mail et notez ce que vous allez changer.

Pour aller plus loin

Les étapes décrites dans ces articles concernent les panneaux de WebOké ; chez d'autres hébergeurs, le fonctionnement est comparable.

• Guide WebOké 5.17: Santé du domaine et de l'e-mail : vérifier et corriger
• Guide WebOké 6.7: La carte Configurer la messagerie (MX, SPF, DKIM, DMARC)
• Checklist internet.nl
• Le site web ou l'e-mail ne fonctionne pas après un déménagement ou une modification DNS : vérifiez votre domaine
• Cours DNS gratuit 8.5: Liste de contrôle pour votre propre domaine
• Internet.nl, testez votre e-mail : https://internet.nl/test-mail/