Comprendre l’authentification aux e-mails
Objectif de cet article
Découvrez les protocoles d'authentification des e-mails qui sont utilisés pour établir votre réputation d'expéditeur, valider les e-mails provenant d'un expéditeur légitime et vous protéger contre les abus de e-mails.
La plupart des fournisseurs de boîtes de réception imposent des exigences d’expéditeur aux expéditeurs en masse. La configuration de l’authentification DMARC est un élément clé pour répondre à ces exigences, en particulier pour les expéditeurs à fort volume. À titre de référence, Google considère toute personne envoyant 5 000 e-mails ou plus par jour à des destinataires Gmail comme un « expéditeur en masse ».
À propos de l’authentification par e-mail
L’authentification par e-mail désigne les normes techniques qui permettent de vérifier l’identité de l’expéditeur d’un e-mail. Les normes d’authentification des e-mails les plus courantes sont SPF, DKIM et DMARC. Les serveurs de messagerie utilisent ces protocoles d’authentification pour vérifier que les e-mails entrants proviennent d’expéditeurs légitimes, protégeant ainsi votre marque et vos clients contre les acteurs malveillants. Outre la prévention des tentatives de phishing et de spoofing, la mise en œuvre de ces protocoles peut contribuer à améliorer la délivrabilité, car les fournisseurs de boîtes aux lettres seront en mesure de confirmer l'identité de l'expéditeur.
SPF
Sender Policy Framework (SPF) est une méthode d’authentification des e-mails conçue pour détecter les adresses d’expédition frauduleuses pendant la livraison de l’e-mail. SPF permet au serveur de messagerie destinataire de vérifier que les e-mails provenant d’un domaine spécifique ont été envoyés via une adresse IP autorisée par les administrateurs de ce domaine.
Lorsqu’un e-mail est envoyé à partir d’une adresse IP qui n’a pas été autorisée par SPF, le serveur de messagerie destinataire peut rejeter l’e-mail ou le détourner de la boîte de réception principale. Sans enregistrements SPF, vous ne pouviez pas authentifier les adresses IP à l’aide de votre domaine d'envoi, ce qui permettait aux acteurs malveillants de se faire facilement passer pour votre marque.
Sur le domaine d'envoi partagé de Klaviyo, les e-mails sont automatiquement authentifiés par SPF. Si vous utilisez votre propre domaine d’envoi dédié dans Klaviyo, l’enregistrement SPF nécessaire est automatiquement ajouté par le biais des enregistrements CNAME ou NS ajoutés lors de la configuration.
DKIM
DomainKeys Identified Mail (DKIM) est une signature digitale ajoutée à l’en-tête d’un e-mail afin de vérifier l’identité de l’expéditeur. Les serveurs de réception des e-mails vérifieront que la signature DKIM correspond à celle du domaine d'envoi associé. Étant donné que la signature DKIM existe dans l’en-tête d’un e-mail, elle restera également lors du transfert d’un e-mail, contrairement à l’authentification SPF.
Sur le domaine d'envoi partagé de Klaviyo, les e-mails sont automatiquement authentifiés par DKIM. Si vous utilisez votre propre domaine d’envoi dédié dans Klaviyo, l'enregistrement DKIM nécessaire est automatiquement ajouté par le biais des enregistrements CNAME ou NS ajoutés lors de la configuration.
DMARC
DMARC signifie Domain-based Message Authentication, Reporting, and Conformance (Authentification, reporting et conformité des messages basés sur le domaine). Il s’agit d’un protocole qui utilise SPF et DKIM pour déterminer l’authenticité d’un e-mail, donnant aux propriétaires de domaines la possibilité de protéger leur domaine contre une utilisation non autorisée.
DMARC fournit des instructions aux serveurs de réception sur la manière de traiter les messages entrants. Pour être remis, les messages doivent passer les contrôles d’alignement DKIM et SPF conformément aux exigences fixées par la politique DMARC. Les messages qui ne passent pas les contrôles DMARC peuvent être autorisés, rejetés ou placés dans le dossier spam.
La mise en œuvre d’une politique DMARC sur votre domaine peut vous protéger contre l’usurpation d’identité, en limitant l’exposition de votre marque et des destinataires à des messages potentiellement frauduleux et dangereux.
Exemple de politique DMARC
DMARC est un protocole d'authentification, de politique et de rapport qui a un impact sur tous les e-mails envoyés par votre marque, au-delà de Klaviyo. Veuillez noter qu’il est important de travailler avec votre équipe informatique ou un professionnel tiers pour mettre en œuvre une politique DMARC qui répond le mieux aux besoins de votre marque.
Vous trouverez ci-dessous un exemple d’enregistrement DMARC simple et de l’impact de différents enregistrements sur la livraison des e-mails.
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourbrand.com
Il est courant que le tag sp soit omis dans un enregistrement DMARC, auquel cas le tag sp est par défaut à la valeur du tag p.
Bien que les politiques DMARC puissent comporter un certain nombre de tags avec des fonctions différentes, les tags de politique p et sp sont les plus importants en ce qui concerne Klaviyo et votre marketing par e-mail.
Les valeurs de ces deux tag indiquent aux fournisseurs de boîte de réception comment ils doivent réagir lorsque les vérifications d’alignement échouent. Lorsqu’il est utilisé dans des adresses d’e-mail d’expéditeur, le tag p s’applique au domaine racine (par exemple, @yourbrand.com) tandis que le tag sp s’applique aux sous-domaines (par exemple,@shop.yourbrand.com).
En revanche, le tag rua de l’exemple détermine la boîte de réception vers laquelle les rapports DMARC seront envoyés. Ce tag est recommandé, mais n’est pas obligatoire.
Veillez à remplacer l’adresse e-mail fictive ci-dessus (c.-à-d., dmarc-reports@yourbrand.com) par une boîte de réception prête à recevoir les rapports DMARC si vous prévoyez d’utiliser le tag rua.
Valeur pour le tag p/sp | Ce que font les fournisseurs de boite de réception avec les e-mails non alignés |
p=none | Acceptez les e-mails normalement, malgré le décalage. |
p=quarantaine | Acceptez l’e-mail, mais affichez un avertissement et placez l’e-mail dans le spam. |
p=rejeter | Bloquez l’e-mail non aligné. |
Une politique DMARC est placée en tant qu’enregistrement TXT dans le panneau de contrôle DNS d’un domaine, mais doit suivre des règles de syntaxe spécifiques.
Comment les tags p et sp impactent l’envoi sur Klaviyo
Lors d'un envoi sur un domaine d'envoi partagé, les e-mails auront toujours un décalage entre votre adresse de départ (par exemple, marketing@yourbrand.com) et le domaine d'envoi réel du courriel (par exemple, ksdn.klaviyomail.com). Le domaine d'envoi partagé de Klaviyo a une politique DMARC réglée sur p=none, de sorte que vos e-mails peuvent arriver dans les boîtes de réception des clients malgré le décalage.
Lorsque vous utilisez un domaine d'envoi dédié, un domaine appartenant à votre marque, le domaine de l’adresse d’expédition correspond au domaine d'envoi. Par conséquent, les contrôles DMARC seront acceptés.
tagsrua et reporting DMARC
Le tag rua dans un enregistrement DMARC permet à l’adresse e-mail associée de recevoir des rapports DMARC en format .xml format. Ces rapports sont difficiles et fastidieux à interpréter, c’est pourquoi Klaviyo vous recommande de travailler avec un fournisseur de services DMARC si vous prévoyez d’utiliser le tag rua pour le reporting DMARC. Ces fournisseurs permettent de traiter le fichier .xml Créez des rapports DMARC et présentez-les afin que votre marque puisse recueillir plus facilement des insights.
Le domaine de l’adresse e-mail défini dans le tag rua pour recevoir les rapports DMARC doit correspondre au domaine racine de l’enregistrement DMARC. Pour recevoir des rapports DMARC via un autre domaine, vous devez ajouter un enregistrement TXT fourni par le propriétaire du domaine au domaine racine de votre marque.
Exemple de rapport DMARC
Voici quelques exemples de recommandations des fournisseurs DMARC par Klaviyo :
Configuration de l’authentification aux e-mails
Lorsque vous envoyez des e-mails avec Klaviyo, vous n'avez pas besoin d'ajouter vos propres enregistrements SPF et DKIM. Si vous envoyez des messages sur le domaine d'envoi partagé de Klaviyo, les enregistrements nécessaires ont déjà été définis pour passer l’authentification. Avec un domaine d'envoi dédié (également connu sous le nom de domaine d'envoi dédié), les enregistrements Klaviyo NS ou CNAME ajoutés lors de la configuration activent automatiquement l’authentification DKIM et SPF.
Cependant, la configuration de DMARC est un processus externe effectué en dehors de Klaviyo avec votre fournisseur DNS. La politique DMARC que vous définissez détermine comment traiter les messages qui échouent à l'authentification SPF et DKIM. Les politiques DMARC peuvent soit mettre en quarantaine les e-mails non authentifiés et les envoyer dans le dossier spam du destinataire, soit leur permettre d'atterrir dans les boîtes de réception malgré le décalage, soit les rejeter entièrement et bloquer la livraison au destinataire.
Si votre marque n’a actuellement pas de politique DMARC, la configuration de p=none est une première étape importante pour répondre aux exigences des fournisseurs de boite de réception. Cependant, Klaviyo vous recommande vivement de faire appel à votre équipe informatique ou à un professionnel tiers si vous souhaitez configurer une politique DMARC plus stricte qui empêche l’usurpation d’identité et permet de générer des rapports sur les échecs d’alignement.
Klaviyo ne peut pas mettre en œuvre DMARC en votre nom, car le processus a un impact sur la sécurité et les envois de votre marque en dehors de Klaviyo. En outre, la mise en œuvre de DMARC nécessite un accès aux paramètres DNS de votre marque et un contrôle de ces paramètres. Klaviyo ne peut pas apporter de telles modifications DNS à votre marque afin de protéger votre sécurité et votre propriété sur votre domaine.
Configuration de DMARC dans votre DNS
La configuration de DMARC est un processus effectué en dehors de Klaviyo dans votre fournisseur DNS. Il existe un grand nombre de fournisseurs DNS différents, mais les étapes ci-dessous décrivent comment DMARC est généralement mis en œuvre.
Pour configurer DMARC, votre administrateur réseau pour le domaine devra se connecter aux paramètres DNS du domaine pour ajouter un enregistrement DMARC, comme celui présenté ci-dessous. Une fois connecté à votre fournisseur DNS, créez un nouvel enregistrement avec les informations suivantes.
- Type: TXT
- Hôte: _dmarc
- Valeur: v=DMARC1 ; p=none
Le tag rua est un tag facultatif utilisé pour le reporting DMARC. Si vous prévoyez d’utiliser les rapports et souhaitez les recevoir dans une boîte de réception, la valeur de l’enregistrement DMARC est : v=DMARC1; p=none; rua=mailto:email@yourbrand.com
Les noms des champs, des interfaces et des processus de création d’un nouvel enregistrement peuvent varier d’un fournisseur DNS à l’autre. Parmi les exemples de fournisseurs DNS, citons GoDaddy et Namecheap, mais il en existe de nombreux autres.
Pour plus d’informations sur la configuration de DMARC pour votre domaine, nous vous recommandons de consulter les ressources et services ci-dessous, ou de contacter votre fournisseur DNS.
- Comprendre comment DMARC protège la réputation de votre domaine
- MXToolBox : comment configurer DMARC
- DMARCian : premiers pas avec DMARC
- ValiMail
Rendre vos e-mails Klaviyo conformes à la DMARC
Pour être en conformité avec DMARC, vous devez connecter à votre compte un domaine d'envoi dédié qui correspond au domaine racine de votre adresse e-mail d’expédition conviviale (c’est-à-dire votre adresse d’expédition). Par exemple, si vous envoyez un e-mail en utilisant sales@yourbrand.com comme adresse d’expédition et que votre marque.com est protégée par DMARC, votre compte devra utiliser un domaine d'envoi dédié tel que send.votremarque.com pour répondre aux exigences DMARC.
Découvrez comment mettre à jour votre adresse d’e-mail d’expéditeur afin de l’aligner sur votre domaine d’envoi dédié.
Destinataires internes
Lorsque vous utilisez un domaine partagé pour envoyer des e-mails à des destinataires internes, les fournisseurs de boîtes de réception peuvent afficher un message d'avertissement et placer les e-mails dans les spams lorsque l'adresse électronique du destinataire correspond au domaine de l'adresse de départ.
Par exemple, sur Gmail :
Bien que cela n’affecte que les utilisateurs dont l’adresse e-mail correspond à votre propre domaine d’expédition, vous pouvez configurer un domaine d'envoi dédié pour éviter cela.
Si vous voyez cet avertissement pour une boîte de réception personnelle, non-entreprise, c'est probablement le résultat d'un échec DMARC. Pour être en conformité avec DMARC, vous devez connecter à votre compte un domaine d'envoi dédié qui correspond au domaine de votre adresse e-mail d’expédition (c’est-à-dire votre adresse d’expédition).
Vérification de la configuration de votre authentification par e-mail
Pour vérifier que l’enregistrement a été publié avec succès, vous pouvez saisir votre domaine dans le vérificateur DMARC proposé par EasyDMARC. Avec cet outil, un statut Avertissement ou Valide est conforme aux exigences des fournisseurs de boîtes de réception en matière d’expéditeur.
Vous pouvez également vérifier que votre authentification de messagerie est correctement configurée à l’aide de l’en-tête d’un e-mail envoyé par votre marque.
Un en-tête d’e-mail contient des métadonnées sur un e-mail et le chemin réseau qu’il a emprunté. Cela inclut des informations telles que l’adresse d’expédition, l’objet, le destinataire et des informations importantes sur l’authentification, comme la réussite des protocoles SPF, DKIM et DMARC.
Découvrez comment vérifier les configurations d’authentification des e-mails à l’aide des en-têtes d’e-mails.
Passer à une politique DMARC plus sécurisée
Bien qu’une politique DMARC de p=none soit suffisante pour répondre aux exigences initiales des expéditeurs, le passage à une politique plus sécurisée peut mieux protéger votre entreprise contre les acteurs malveillants.
Avantages de politiques plus sûres
Le recours à p=quarantine ou p=reject permet de bloquer l’envoi des e-mails qui présentent un problème de correspondance (c’est-à-dire les e-mails envoyés à partir d’un domaine d’envoi qui ne correspond pas au domaine racine de votre marque) dans la boîte de réception principale d’un destinataire. P=none n’a aucun impact sur le placement des e-mails dans la boîte de réception s’ils présentent un problème de correspondance. Ainsi, les destinataires peuvent toujours recevoir des e-mails provenant d’un acteur malveillant qui tente d’usurper l’identité de votre marque. Si un utilisateur consulte un e-mail usurpé qui semble avoir été envoyé par votre marque, cela peut nuire à la confiance d’un client dans l’e-mail de votre marque.
En revanche, si vous utilisez une politique de p=quarantine ou de p=reject, les e-mails présentant des problèmes de correspondance seront bloqués ou envoyés dans le courrier indésirable des destinataires. Les fournisseurs de la boîte de réception sauront qu’il ne faut pas montrer l’e-mail au destinataire, et les e-mails usurpés ne parviendront pas jusqu’à la boîte de réception principale.
Autres considérations
Il est important de noter que le protocole DMARC s’applique à tous les e-mails envoyés par votre marque, y compris ceux envoyés en dehors de Klaviyo. Si une politique de p=none est appliquée, vos envois ne seront pas affectés car les e-mails atterriront toujours dans la boîte de réception principale. Cependant, les politiques DMARC plus strictes peuvent bloquer l’envoi des e-mails si vos domaines ne correspondent pas à l’infrastructure d’envoi des e-mails de votre entreprise et aux cas d’utilisation.
C’est pourquoi Klaviyo vous recommande de collaborer avec votre équipe informatique ou un fournisseur de services DMARC pour mettre en œuvre une politique qui répond au mieux aux besoins de votre marque.