Identité numérique et preuve électronique
Protéger le nom, l'adresse et la parole de l'organisation sur Internet : nom de domaine, messagerie authentifiée (SPF, DKIM, DMARC), lutte contre l'usurpation, e-réputation, et valeur juridique des documents signés et horodatés.
L'essentiel
- L'identité numérique de l'organisation : domaine, site, messagerie, comptes officiels, certificats, avis. Tout repose sur le nom de domaine.
- Un domaine se loue : titulaire (l'entreprise), registrar, registre (AFNIC pour le .fr). Le WHOIS donne registrar, expiration et serveurs DNS.
- Protéger le domaine : renouvellement automatique, verrou de transfert, MFA chez le registrar, variantes réservées, DNSSEC.
- SMTP ne vérifie pas l'expéditeur : SPF (serveurs autorisés), DKIM (signature du message), DMARC (alignement sur « De : » et politique).
- Un seul SPF par domaine ; DMARC progressif :
none→quarantine→reject, avec lecture des rapportsrua. - Usurpation : faux expéditeur, typosquatting, homographes, faux comptes, fraude au président ; parade humaine : vérifier par téléphone tout changement de RIB.
- E-réputation : surveiller, répondre vite et calmement, comptes officiels sur adresse générique avec deux administrateurs et MFA.
- L'écrit électronique vaut le papier si l'auteur est identifié et l'intégrité garantie (Code civil 1366-1367).
- Signature électronique simple, avancée, qualifiée (eIDAS) ; seule la qualifiée équivaut à la manuscrite et est présumée fiable. Horodatage et archivage complètent la preuve.
- eIDAS 2 : portefeuille européen d'identité numérique, divulgation sélective, signature qualifiée pour tous.
Protéger son nom de domaine
Titulaire = l'entreprise ; renouvellement automatique et alertes d'expiration envoyées à une adresse générique (pas à une seule personne) ; verrou de transfert activé ; compte chez le registrar protégé par une double authentification ; enregistrement des variantes proches du nom (.com, fautes de frappe courantes).
Piège classique
Un seul enregistrement SPF par domaine : en publier deux rend SPF invalide (permerror). Pour ajouter un nouveau prestataire d'envoi (outil de lettres d'information, logiciel de facturation), on complète l'enregistrement existant avec un include: supplémentaire. Attention aussi à la limite de 10 recherches DNS par SPF.
La bonne progression
1. SPF et DKIM pour tous les serveurs qui envoient au nom du domaine ; 2. DMARC en p=none avec rapports rua ; 3. lecture des rapports pendant quelques semaines ; 4. passage en quarantine puis en reject. Les domaines qui n'envoient jamais de courriel reçoivent directement v=spf1 -all et p=reject.
Commandes clés
| Pour… | Commandes |
|---|---|
| Lire la fiche d'un domaine | whois broceliande-logistique.fr |
| Lire le SPF (Linux / Windows) | dig +short TXT domaine · nslookup -type=TXT domaine |
| Lire le DMARC | dig +short TXT _dmarc.domaine |
| Lire une clé DKIM | dig +short TXT sélecteur._domainkey.domaine (sélecteur lu dans header.s=) |
| Voir les serveurs de messagerie | dig +short MX domaine |
| Vérifier DNSSEC | dig +dnssec domaine (drapeau ad dans la réponse) |
| Lire le verdict d'un courriel | en-tête Authentication-Results : spf=, dkim=, dmarc= |