CoursB3-03 - Identité numérique et preuve électronique
Cours · Fiche de cours
B3-03 - Identité numérique et preuve électronique
Sommaire
B3-03 Identité numérique et preuve électronique
🎓 SIO1 · semestre 2⏱️ 4 h (cours + TP)🛡️ Bloc 3 – CybersécuritéProtéger le nom, l'adresse et la parole de l'organisation sur Internet : nom de domaine, messagerie authentifiée (SPF, DKIM, DMARC), lutte contre l'usurpation, e-réputation, et valeur juridique des documents signés et horodatés.
🎯 Objectifs
Recenser ce qui compose l'identité numérique d'une organisation et qui en est responsable.
Expliquer le rôle du registre, du bureau d'enregistrement et du titulaire d'un nom de domaine ; lire un WHOIS.
Décrire le contrôle d'un courriel par SPF, DKIM et DMARC, et lire ces enregistrements DNS.
Reconnaître l'usurpation d'identité (typosquatting, faux expéditeur) et proposer des parades.
Agir sur l'e-réputation de l'organisation et sécuriser ses comptes officiels.
Distinguer les niveaux de signature électronique et dire ce qui donne sa valeur à une preuve numérique (eIDAS).
📋 Prérequis
Le DNS : noms, enregistrements, résolution.B2-11 · DNS
Test express des prérequis 3 questions · 2 minutes · conseillé avant de commencer
1. Quel enregistrement DNS indique le serveur qui reçoit le courrier d'un domaine ?
MX (Mail eXchanger) désigne le ou les serveurs de messagerie du domaine. A donne une adresse IPv4, CNAME un alias. À revoir : B2-11 · DNS.
2. Un courriel vient de « direction@broceliande-logistique.fr ». Peut-on en être sûr ?
Le protocole SMTP ne vérifie pas l'expéditeur. C'est justement le rôle de SPF, DKIM et DMARC, vus dans cette fiche. À revoir : B3-01 · Fondamentaux.
3. Lequel de ces critères de sécurité garantit qu'un document n'a pas été modifié ?
L'intégrité (le « I » de DICP) garantit que l'information n'a pas été altérée. La signature électronique, vue en partie 6, protège justement l'intégrité et l'origine d'un document.
Brocéliande Logistique (entreprise fictive) a reçu un appel inquiet d'un client : il venait de virer 18 400 € sur un « nouveau RIB » envoyé par courriel par la comptabilité. Le message semblait parfait, logo compris. En regardant de près, l'adresse de l'expéditeur était compta@brocel1ande-logistique.fr : un chiffre 1 à la place du l.
Le responsable informatique découvre aussi que le domaine officiel n'a ni SPF ni DMARC, que la page de l'entreprise sur un réseau social est gérée depuis le compte personnel d'un stagiaire parti l'an dernier, et que les bons de livraison sont signés par une simple image scannée. Il te confie un audit de l'identité numérique de l'entreprise et la mise en place de protections.
Le coursL'identité numérique de l'organisation, son nom de domaine, sa messagerie authentifiée, l'usurpation et l'e-réputation, puis la preuve électronique.
1. L'identité numérique d'une organisation
L'identité numérique d'une organisation, c'est l'ensemble des éléments qui permettent de la reconnaître et de lui faire confiance sur Internet : son nom de domaine, son site, ses adresses de messagerie, ses comptes sur les réseaux sociaux, ses certificats, ses fiches dans les annuaires et les avis qui la concernent. Pour un client, un fournisseur ou une administration, ces éléments sont l'entreprise.
Identité numérique de l'organisation : ensemble des identifiants (nom de domaine, adresses, comptes, certificats) et des traces (publications, avis, articles) qui représentent l'organisation en ligne. Elle peut être usurpée (quelqu'un se fait passer pour elle), perdue (domaine expiré, compte volé) ou abîmée (mauvaise réputation).
Clique sur chaque élément de l'identité numérique pour voir ce qu'il faut protéger.
Choisis un élément autour de l'entreprise.
Tout part du nom de domaine : site, messagerie et certificats en dépendent.
Pour bien comprendre : la boutique et son enseigne
Le nom de domaine est l'enseigne de la boutique : c'est par elle que les clients la trouvent. Si on oublie de payer l'emplacement, quelqu'un d'autre peut s'y installer.
Rien n'empêche un imitateur d'ouvrir la boutique d'à côté avec une enseigne presque identique : c'est le typosquatting. Et n'importe qui peut écrire « Brocéliande » au dos d'une enveloppe.
Pour que le destinataire reconnaisse les vraies lettres, la boutique les ferme avec un cachet de cire que lui seul possède : c'est la signature DKIM. Et elle affiche publiquement la liste de ses facteurs autorisés : c'est SPF.
2. Le nom de domaine : qui fait quoi
Un nom de domaine comme broceliande-logistique.fr se lit de droite à gauche : .fr est le domaine de premier niveau (TLD), broceliande-logistique le nom choisi par l'entreprise. On le loue pour une durée d'un à dix ans : il ne s'achète jamais définitivement.
Trois acteurs : le titulaire loue le nom, le registrar l'enregistre, le registre tient la liste officielle.
2.1 Le WHOIS : la fiche d'identité du domaine
Le WHOIS (aujourd'hui remplacé peu à peu par RDAP) indique le registrar, les dates de création et d'expiration, les serveurs DNS et l'état du domaine. Pour une personne physique, les coordonnées sont masquées (RGPD) ; pour une entreprise, le nom du titulaire est souvent visible.
Debian 13 terminalextrait de WHOIS
$ whois broceliande-logistique.fr
domain: broceliande-logistique.fr
status: ACTIVE
hold: NO
holder-c: BL1234-FRNIC
registrar: EXEMPLE REGISTRAR SAS
Expiry Date: 2027-03-14T10:12:44Z
created: 2019-03-14T10:12:44Z
nserver: ns1.exemple-registrar.net
nserver: ns2.exemple-registrar.net
registrarLe bureau d'enregistrement chez qui le domaine est loué : c'est là qu'on renouvelle et qu'on modifie les serveurs DNS.
Expiry DateDate d'expiration. Un domaine non renouvelé est suspendu puis remis en vente : un tiers peut le racheter et recevoir tous les courriels de l'entreprise.
nserverLes serveurs DNS qui font autorité. Un pirate qui les modifie détourne le site et la messagerie d'un seul coup.
holder-cIdentifiant du titulaire. Il doit correspondre à l'entreprise, pas à un ancien prestataire ou à un salarié.
Titulaire = l'entreprise ; renouvellement automatique et alertes d'expiration envoyées à une adresse générique (pas à une seule personne) ; verrou de transfert activé ; compte chez le registrar protégé par une double authentification ; enregistrement des variantes proches du nom (.com, fautes de frappe courantes).
Le DNS classique ne prouve pas que la réponse est authentique : un attaquant peut injecter une fausse adresse (empoisonnement de cache). DNSSEC ajoute une signature à chaque réponse ; le résolveur la vérifie grâce à une chaîne de confiance qui remonte jusqu'à la racine du DNS. On l'active en un clic chez la plupart des registrars : le .fr le prend en charge.
3. Authentifier la messagerie : SPF, DKIM et DMARC
Le protocole SMTP, qui transporte les courriels, date de 1982 : il ne vérifie pas l'expéditeur. N'importe quel serveur peut envoyer un message « de la part de » compta@broceliande-logistique.fr. Trois mécanismes, publiés dans le DNS du domaine, permettent au serveur qui reçoit un courriel de vérifier qu'il vient vraiment de l'entreprise.
Mécanisme
Question posée par le serveur destinataire
Où c'est publié
SPF
Le serveur qui m'envoie ce message a-t-il le droit d'envoyer pour ce domaine ?
TXT sur le domaine : v=spf1 …
DKIM
Le message porte-t-il une signature valide du domaine, et n'a-t-il pas été modifié en route ?
TXT sur sélecteur._domainkey.domaine (clé publique)
DMARC
SPF ou DKIM correspondent-ils au domaine affiché dans « De : » ? Sinon, que dois-je faire du message ?
TXT sur _dmarc.domaine
SPF vérifie le serveur, DKIM le contenu, DMARC fait le lien avec l'adresse affichée et décide.
3.1 Lire les trois enregistrements
Zone DNS broceliande-logistique.frenregistrements TXT
v=spf1 mx ip4:… include:… -allSont autorisés : les serveurs MX du domaine, l'adresse 203.0.113.2 et les serveurs listés par le prestataire de messagerie (include). -all : tout le reste échoue. ~all (échec « léger ») est une étape de transition.
bl2026._domainkeyLe sélecteur (bl2026) permet d'avoir plusieurs clés et d'en changer. p= contient la clé publique ; la clé privée reste sur le serveur d'envoi.
p=quarantinePolitique DMARC : none (on observe seulement), quarantine (en indésirables), reject (refus). On commence par none pour lire les rapports, puis on durcit.
rua=mailto:…Adresse qui reçoit chaque jour les rapports agrégés des grands fournisseurs : qui a envoyé des courriels au nom du domaine, et avec quel résultat.
adkim=r ; aspf=rAlignement « relâché » (r) : un sous-domaine compte comme le domaine. En strict (s), le domaine doit être exactement le même.
Un seul enregistrement SPF par domaine : en publier deux rend SPF invalide (permerror). Pour ajouter un nouveau prestataire d'envoi (outil de lettres d'information, logiciel de facturation), on complète l'enregistrement existant avec un include: supplémentaire. Attention aussi à la limite de 10 recherches DNS par SPF.
1. SPF et DKIM pour tous les serveurs qui envoient au nom du domaine ; 2. DMARC en p=none avec rapports rua ; 3. lecture des rapports pendant quelques semaines ; 4. passage en quarantine puis en reject. Les domaines qui n'envoient jamais de courriel reçoivent directement v=spf1 -all et p=reject.
4. L'usurpation d'identité numérique
Usurper l'identité d'une organisation, c'est se faire passer pour elle afin de tromper ses clients, ses fournisseurs ou ses salariés. Les escrocs visent surtout les virements (faux RIB, fraude au président), les identifiants (fausse page de connexion) et les données.
Technique
Exemple chez Brocéliande
Parade
Usurpation directe (spoofing) : le vrai domaine dans « De : »
Faux courriel de direction@broceliande-logistique.fr envoyé d'un serveur quelconque
« Je suis en réunion, fais ce virement urgent et confidentiel »
Procédure : double validation des virements, rappel au numéro connu
Faux comptes et faux sites
Fausse page de l'entreprise sur un réseau social, faux site d'offres d'emploi
Comptes officiels certifiés, signalement à la plateforme, veille
L'escroc observe d'abord : il repère les clients sur le site et les réseaux sociaux, récupère la signature d'un vrai courriel de la comptabilité, enregistre un domaine ressemblant. Puis il écrit au client au bon moment (fin de mois, facture en attente) pour annoncer un « changement de banque ». Le message est poli, sans faute, avec le bon logo. Seuls l'adresse exacte de l'expéditeur et la vérification par téléphone au numéro habituel déjouent l'arnaque.
Entraîne-toi à repérer l'intrus. Pour chaque adresse d'expéditeur, écris vrai si elle appartient bien au domaine officiel broceliande-logistique.fr, ou faux sinon.
compta@broceliande-logistique.fr ›
compta@broceliande-logistique.fr.secure-pay.com ›
rh@broceliande-logistlque.fr ›
noreply@factures.broceliande-logistique.fr ›
direction@broceliande-logistique.com ›
Indices : un nom de domaine se lit juste avant le TLD final (…secure-pay.com appartient à secure-pay.com) ; logistlque contient un l à la place du i ; factures. est un sous-domaine légitime ; le .com n'est pas le domaine officiel.
5. L'e-réputation et les comptes officiels
L'e-réputation est l'image de l'organisation telle qu'elle apparaît en ligne : résultats des moteurs de recherche, avis de clients, articles, publications des salariés. Elle se construit en partie sans l'entreprise, mais elle se surveille et se gère.
Surveiller, répondre vite et calmement, régler le problème : la réputation se joue surtout sur la réponse.
Créer chaque compte avec une adresse générique de l'entreprise (communication@…), jamais une adresse personnelle.
Deux administrateurs au moins, et retrait des droits au départ d'un salarié ou d'un stagiaire.
Double authentification obligatoire : un compte volé publie au nom de l'entreprise (arnaques, messages haineux).
Réserver le nom de l'entreprise sur les réseaux même non utilisés, pour éviter les faux comptes.
Une charte des réseaux sociaux pour les salariés (fiche B1-04) et une procédure de crise.
Contenu faux ou diffamatoire : signalement à la plateforme, droit de réponse, et si besoin plainte. Faux avis : signalement (les faux avis de consommateurs sont une pratique commerciale trompeuse). Données personnelles d'un salarié : droit au déréférencement auprès des moteurs de recherche (RGPD, fiche B3-02). Typosquatting en .fr : procédure de résolution de litiges de l'AFNIC (SYRELI).
6. La preuve électronique : signature, horodatage, archivage
Depuis 2000, le Code civil reconnaît l'écrit électronique au même titre que le papier, à deux conditions : qu'on puisse identifier son auteur et qu'il soit conservé de façon à garantir son intégrité (articles 1366 et 1367). Une image de signature collée dans un PDF ne remplit aucune de ces conditions : n'importe qui peut la copier.
Signature électronique : procédé fiable d'identification qui garantit le lien entre le signataire et le document. Techniquement, on calcule l'empreinte (hachage) du document, puis on la chiffre avec la clé privée du signataire ; le certificat contenant sa clé publique permet à tous de vérifier (fiche B3-04).
La signature lie le document à son auteur : toute modification après signature est détectée.
6.1 Trois niveaux de signature (règlement eIDAS)
Niveau
Comment le signataire est identifié
Valeur devant un juge
Usage typique
Simple
Case à cocher, code reçu par SMS, signature tracée sur une tablette
Recevable, mais c'est à celui qui s'en prévaut de prouver qu'elle est fiable
Bon de livraison, accord interne, devis courant
Avancée
Liée au signataire de façon unique, sous son contrôle exclusif, toute modification détectée ; certificat
Bonne force probante
Contrats commerciaux, contrats de travail, marchés
Qualifiée
Avancée + certificat qualifié délivré après vérification d'identité en face à face ou équivalent + dispositif sécurisé
Équivalente à une signature manuscrite ; présumée fiable
Actes à fort enjeu, marchés publics sensibles, certains documents administratifs
HorodatageUn tiers de confiance appose une date et une heure certaines sur l'empreinte du document : on prouve qu'il existait à ce moment-là et n'a pas changé depuis. L'horodatage qualifié bénéficie d'une présomption d'exactitude.
Archivage à valeur probanteConserver les documents signés sans altération pendant toute la durée légale (souvent 5 à 10 ans), avec traçabilité des accès (norme NF Z42-013). Un simple dossier partagé ne suffit pas.
Prestataire de services de confianceEntreprise qui délivre certificats, signatures ou horodatages. Les prestataires « qualifiés » figurent sur les listes de confiance européennes (en France, contrôlés par l'ANSSI).
7. eIDAS 2 et le portefeuille européen d'identité numérique
Le règlement européen eIDAS (2014) a fixé les règles de la signature électronique, de l'horodatage et des services de confiance dans toute l'Union. Sa révision, eIDAS 2 (règlement 2024/1183, en vigueur depuis mai 2024), ajoute un outil pour chaque citoyen : le portefeuille européen d'identité numérique (EUDI Wallet), que chaque État doit proposer.
Dans une application sur son téléphone, la personne conserve son identité et des attestations (diplôme, permis de conduire, qualité de représentant d'une entreprise…).
Elle choisit ce qu'elle partage : par exemple prouver qu'elle est majeure sans donner sa date de naissance (divulgation sélective, principe de minimisation du RGPD).
Le portefeuille permet aussi de signer gratuitement avec une signature qualifiée.
En France, l'application France Identité (avec la carte d'identité électronique) en est la première brique.
Pour un technicien, eIDAS se traduit concrètement par : choisir un service de signature électronique adapté au niveau de risque du document, vérifier que le prestataire est qualifié quand c'est nécessaire, conserver les documents signés et leurs preuves (journaux, certificats) dans un archivage adapté, et contrôler qu'une signature reçue est valide (certificat, date, intégrité).
8. Diagnostiquer : lire les en-têtes et résoudre les problèmes
Quand un courriel arrive en indésirables, est rejeté ou semble suspect, la réponse se trouve dans ses en-têtes (« Afficher l'original » dans Gmail, « Afficher la source » dans Outlook ou Thunderbird). Le serveur destinataire y écrit le résultat de ses contrôles.
En-têtes d'un courriel reçu par un clientextrait
Authentication-Results: mx.client-exemple.fr;
spf=pass (sender IP is 203.0.113.2) smtp.mailfrom=broceliande-logistique.fr;
dkim=pass header.d=broceliande-logistique.fr header.s=bl2026;
dmarc=pass (p=QUARANTINE) header.from=broceliande-logistique.fr
Received: from mail.broceliande-logistique.fr (203.0.113.2) by mx.client-exemple.fr …
From: Comptabilité <compta@broceliande-logistique.fr>
Return-Path: <compta@broceliande-logistique.fr>
Authentication-ResultsLe verdict du serveur destinataire pour SPF, DKIM et DMARC : pass, fail, softfail, none. C'est la première ligne à lire.
ReceivedChaque serveur traversé ajoute une ligne, la plus récente en haut. On remonte ainsi le chemin jusqu'au serveur d'origine et à son adresse IP.
From et Return-PathFrom est l'adresse affichée ; Return-Path reçoit les erreurs et sert au contrôle SPF. S'ils diffèrent de domaine, DMARC vérifie l'alignement.
header.s=bl2026Le sélecteur DKIM : il dit où chercher la clé publique (bl2026._domainkey…).
Ce courriel « de la comptabilité » est-il authentique ? Réponds en lisant ses en-têtes
Le domaine de l'adresse « De : » est-il exactement le domaine officiel ?Lis-le lettre par lettre, juste avant le TLD final.
La ligne Authentication-Results indique-t-elle dmarc=pass ?DMARC n'est « pass » que si SPF ou DKIM est valide et aligné sur ce domaine.
Le message demande-t-il un virement, un changement de coordonnées bancaires ou des identifiants ?Même un vrai compte peut avoir été piraté.
Usurpation par domaine ressemblant (typosquatting) : ne réponds pas, ne clique pas, signale-le au support et préviens le client. Le domaine frauduleux peut être signalé (AFNIC, plateforme Signal Spam).
Message non authentifié : soit une usurpation directe, soit un envoi légitime mal configuré (prestataire absent du SPF, DKIM manquant). Ne fais pas confiance au contenu et transmets les en-têtes au responsable de la messagerie.
Authentique mais à vérifier hors ligne : appelle l'expéditeur au numéro habituel (pas celui du message) avant toute action. C'est la règle pour tout changement de RIB.
Message authentique : SPF/DKIM alignés et demande ordinaire. Tu peux le traiter normalement.
8.1 Entraîne-toi : les tickets du support
Tu es au support de Brocéliande Logistique. Six tickets concernent l'identité numérique de l'entreprise : lis le message, observe le relevé et choisis la cause.
File d'attente du support6 tickets · un à la fois · l'explication s'affiche après ta réponse
Ticket n° 1De : comptabilitéPriorité moyenne
« Depuis qu'on envoie les factures avec le nouveau logiciel de facturation en ligne, plusieurs clients les retrouvent dans leurs indésirables. »
En-têtes facture reçue par un client
spf=fail (sender IP is 192.0.2.77 not permitted)
smtp.mailfrom=broceliande-logistique.fr
dkim=none
dmarc=fail (p=QUARANTINE)
Quelle est la cause ?
Cause : le nouveau prestataire envoie depuis ses serveurs (192.0.2.77) qui ne figurent pas dans le SPF, et il ne signe pas : DMARC échoue et applique quarantine. Correction : ajouter include: du prestataire dans l'enregistrement SPF existant (sans en créer un second) et configurer la signature DKIM qu'il propose.
Ticket n° 2De : directionPriorité haute
« Plus aucun courriel n'arrive depuis ce matin, et le site affiche une page de publicité à la place de notre accueil. »
Cause : le domaine a expiré le 3 octobre ; il est en période de rédemption, pendant laquelle le titulaire peut encore le récupérer (souvent avec des frais). Le registrar affiche une page de parking et les MX ne répondent plus. Correction : renouveler immédiatement, puis activer le renouvellement automatique et des alertes envoyées à une adresse générique.
Ticket n° 3De : responsable informatiqueQuestion
« J'ai ajouté un deuxième enregistrement SPF pour notre outil de lettres d'information. Depuis, même les courriels normaux échouent au contrôle SPF. »
Cause : la norme n'autorise qu'un seul enregistrement commençant par v=spf1. Correction : les fusionner : "v=spf1 mx ip4:203.0.113.2 include:_spf.newsletter-exemple.com -all", puis vérifier avec dig et un outil de test SPF.
« Nous avons reçu de votre part un faux courriel demandant un virement, envoyé avec votre vraie adresse direction@broceliande-logistique.fr. Comment est-ce possible ? »
Cause :p=none est l'étape d'observation. Les rapports rua montrent d'ailleurs ces envois frauduleux. Correction : après avoir vérifié dans les rapports que tous les envois légitimes passent SPF/DKIM, passer en p=quarantine puis p=reject. Prévenir aussi le client de toujours vérifier un changement de RIB par téléphone.
Ticket n° 5De : service achatsPriorité moyenne
« Le fournisseur affirme que le contrat signé électroniquement qu'on lui a renvoyé n'est plus valide. On a juste corrigé une faute d'orthographe dans le PDF après la signature. »
Lecteur PDF panneau des signatures
Signature 1 : Jean Morvan (certificat valide)
✘ Le document a été modifié après l'application de la signature.
Pourquoi la signature est-elle invalide ?
Cause : c'est exactement le rôle de la signature : protéger l'intégrité. Même une virgule modifiée invalide la signature. Correction : repartir du document d'origine, faire la correction, puis faire signer à nouveau. Un document signé ne se retouche jamais.
Ticket n° 6De : chargée de communicationPriorité basse
« Je n'arrive plus à me connecter à la page de l'entreprise sur le réseau social : le compte administrateur était celui de Léa, la stagiaire de l'an dernier. »
Cause : l'entreprise a perdu la maîtrise d'un élément de son identité numérique. Correction : contacter Léa ou la plateforme pour récupérer les droits, puis rattacher la page à une adresse générique de l'entreprise, nommer deux administrateurs, activer la double authentification et prévoir le retrait des droits dans la procédure de départ.
9. À l'examen et en entreprise
Savoir lire un enregistrement SPF, DKIM ou DMARC et expliquer ce qui se passe pour un message donné : c'est une question fréquente de l'écrit de cybersécurité.
Proposer des mesures pour protéger l'identité numérique d'une organisation : domaine (renouvellement, verrou, variantes), messagerie (SPF, DKIM, DMARC progressif), comptes officiels (MFA, adresses génériques), procédure de vérification des changements de RIB.
Justifier un niveau de signature électronique selon l'enjeu du document, et citer le cadre (Code civil, eIDAS).
Dans une réalisation professionnelle : documenter les enregistrements DNS ajoutés et les résultats des tests (en-têtes avant/après).
10. L'essentiel
L'identité numérique de l'organisation : domaine, site, messagerie, comptes officiels, certificats, avis. Tout repose sur le nom de domaine.
Un domaine se loue : titulaire (l'entreprise), registrar, registre (AFNIC pour le .fr). Le WHOIS donne registrar, expiration et serveurs DNS.
Protéger le domaine : renouvellement automatique, verrou de transfert, MFA chez le registrar, variantes réservées, DNSSEC.
SMTP ne vérifie pas l'expéditeur : SPF (serveurs autorisés), DKIM (signature du message), DMARC (alignement sur « De : » et politique).
Un seul SPF par domaine ; DMARC progressif : none → quarantine → reject, avec lecture des rapports rua.
Usurpation : faux expéditeur, typosquatting, homographes, faux comptes, fraude au président ; parade humaine : vérifier par téléphone tout changement de RIB.
E-réputation : surveiller, répondre vite et calmement, comptes officiels sur adresse générique avec deux administrateurs et MFA.
L'écrit électronique vaut le papier si l'auteur est identifié et l'intégrité garantie (Code civil 1366-1367).
Signature électronique simple, avancée, qualifiée (eIDAS) ; seule la qualifiée équivaut à la manuscrite et est présumée fiable. Horodatage et archivage complètent la preuve.
Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.
La pratiqueLe quiz noté pour vérifier tes acquis, les exercices à rendre à ton professeur, puis le TP au labo pour interroger de vrais domaines.
11. Quiz noté
8 questions · 10 minutesRéponds à toutes les questions, puis valide. Seule ta première tentative est enregistrée : elle compte dans ton suivi. Ensuite, tu peux t'entraîner autant que tu veux.
1. Qui tient la liste officielle des noms de domaine en .fr ?
2. Que vérifie SPF ?
3. Où le serveur destinataire trouve-t-il la clé publique DKIM ?
4. Que demande la politique DMARC p=reject ?
5. Un escroc enregistre broceliande-logistlque.fr. Comment s'appelle cette technique ?
6. Pourquoi publier deux enregistrements SPF pour un même domaine est-il une erreur ?
7. Quel niveau de signature électronique est équivalent à une signature manuscrite et présumé fiable ?
8. Un document signé électroniquement est modifié après signature. Que se passe-t-il ?
12. Exercices : à toi de répondre
Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige.
Exercice 1 – Lire un SPF (SIO1)
Le domaine broceliande-logistique.fr publie : "v=spf1 mx ip4:203.0.113.2 include:_spf.exemple-mail.net -all". Pour chacun de ces envois, dis si SPF donne pass ou fail et pourquoi : a) depuis 203.0.113.2 ; b) depuis un serveur du prestataire exemple-mail.net ; c) depuis 198.51.100.40, un serveur inconnu ; d) que changerait ~all à la place de -all pour le cas c ?
Le corrigé s'affichera ici dès que ton professeur aura validé ta réponse. Cherche d'abord par toi-même : c'est en se trompant qu'on retient.
Exercice 2 – Interpréter des en-têtes (SIO1)
Un courriel affiché « De : direction@broceliande-logistique.fr » contient : spf=pass smtp.mailfrom=mail-relay.exemple-pirate.net ; dkim=pass header.d=exemple-pirate.net ; dmarc=fail header.from=broceliande-logistique.fr. SPF et DKIM sont « pass » : pourquoi DMARC échoue-t-il ? Que doit faire le destinataire ?
Le corrigé s'affichera ici dès que ton professeur aura validé ta réponse. Cherche d'abord par toi-même : c'est en se trompant qu'on retient.
Exercice 3 – Choisir une signature (SIO1)
Pour chaque document de Brocéliande Logistique, propose un niveau de signature électronique (simple, avancée ou qualifiée) et justifie : a) le bon de livraison signé par le client sur la tablette du chauffeur ; b) le contrat de travail d'un nouveau cariste ; c) la réponse à un appel d'offres public pour lequel le règlement exige une signature qualifiée ; d) la validation interne d'une demande de congés.
Le corrigé s'affichera ici dès que ton professeur aura validé ta réponse. Cherche d'abord par toi-même : c'est en se trompant qu'on retient.
Exercice 4 – Concevoir (SIO2)
Rédige pour le responsable de Brocéliande un plan d'action en 6 à 8 points pour protéger l'identité numérique de l'entreprise après l'arnaque au faux RIB : domaine, messagerie, comptes officiels, procédures et sensibilisation. Indique pour chaque point qui s'en charge et un indicateur de réussite.
Le corrigé s'affichera ici dès que ton professeur aura validé ta réponse. Cherche d'abord par toi-même : c'est en se trompant qu'on retient.
13. Au labo : enquêter sur de vrais domaines et vérifier une signature
Objectif
Tu vas interroger le DNS de vrais organismes pour lire leur WHOIS, leurs enregistrements SPF, DKIM et DMARC, analyser les en-têtes d'un courriel que tu as réellement reçu, puis signer et vérifier un fichier pour constater par toi-même qu'une seule modification invalide la signature.
nslookup et ta messagerie (lycée ou personnelle) dans le navigateur
même pool
Ce que tu fais dans ce TP
La fiche WHOIS de deux domaines réels : registrar, expiration, serveurs DNS.
SPF, DKIM et DMARC de trois domaines, comparés dans un tableau.
Les en-têtes d'un vrai courriel : chemin suivi et verdict des contrôles.
Une signature créée puis vérifiée avec OpenSSL, avant et après modification.
1 Préparer les outils sur Debian
Debian 13 terminalVM Debian
$ sudo apt update $ sudo apt install -y bind9-dnsutils whois openssl # dig, whois et openssl $ dig +short A cnil.fr # test : une adresse IP doit s'afficher
2 Lire la fiche WHOIS de deux domaines
Interroge le WHOIS de cnil.fr et d'un domaine de ton choix (ton lycée, une entreprise locale). Relève pour chacun : registrar, date de création, date d'expiration, serveurs DNS, état. Le titulaire est-il visible ? Pourquoi ?
Debian 13 terminal
$ whois cnil.fr | grep -iE "registrar|created|expiry|nserver|status|holder" $ dig +short NS cnil.fr # les serveurs DNS faisant autorité
3 Comparer SPF et DMARC de trois domaines
Pour laposte.fr, education.gouv.fr et gmail.com, relève l'enregistrement SPF (le TXT qui commence par v=spf1), sa terminaison (-all, ~all…) et la politique DMARC (p=). Fais-le aussi depuis Windows avec nslookup pour un des domaines.
Debian 13 terminal
$ dig +short TXT laposte.fr | grep spf1 $ dig +short TXT _dmarc.laposte.fr $ dig +short MX laposte.fr # les serveurs qui reçoivent son courrier
Complète les commandes demandées, puis vérifie chaque ligne avec ✓.
Lire le DMARC de cnil.fr ›
Lire les serveurs de messagerie de cnil.fr ›
Lire la clé DKIM du sélecteur s1 de cnil.fr ›
Le sélecteur s1 est un exemple de syntaxe : un domaine n'a pas forcément de clé sous ce nom. Le vrai sélecteur se lit dans les en-têtes d'un courriel (étape 4).
4 Analyser les en-têtes d'un vrai courriel
Dans ta messagerie, ouvre un courriel reçu d'un organisme (une banque, une administration, une boutique) et affiche sa source (« Afficher l'original », « Afficher la source »).
Repère la ligne Authentication-Results : note les résultats spf=, dkim=, dmarc=.
Dans la signature DKIM, relève le domaine signataire d= et le sélecteur s=, puis retrouve la clé publique avec dig +short TXT s._domainkey.d (remplace s et d).
Remonte les lignes Received du bas vers le haut et note les serveurs traversés.
Ouvre ensuite un courriel classé en indésirables et compare : quels contrôles échouent ?
Les en-têtes contiennent ton adresse et parfois ton adresse IP : ne les copie pas tels quels dans un document partagé. Masque les informations personnelles dans ton compte rendu.
5 Signer un fichier et vérifier sa signature
Tu crées une paire de clés, tu signes un bon de livraison (un simple fichier texte), puis tu vérifies. Ensuite, tu modifies une quantité et tu vérifies de nouveau.