Implémenter DMARC au sein d'une multinationale

Le protocole DMARC empêche les pirates d'utiliser votre nom de domaine pour envoyer des e-mails de phishing. En d'autres termes, sans DMARC, n'importe qui peut émettre des e-mails avec les adresses e-mails de votre organisation.

La mise en place de DMARC, configuré en mode restrictif (quarantaine ou rejet), en plus de DKIM et de SPF présente de nombreux avantages pour tous les membres d’une organisation :

• DMARC empêche les pirates de se faire passer, par e-mail, pour des membres de votre organisation auprès de vos employés, clients, fournisseurs et prospects;
• DMARC diminue les risques que vos domaines soient  « blacklistés » par les antispam en cas d’envoi de newsletters par exemple;
• DMARC diminue les chances que vos e-mails soient qualifiés de spam et augmente donc significativement le taux d’ouverture de vos e-mails;
• DMARC vous permet de savoir qui émet des e-mails avec votre nom de domaine, cette fonctionnalité facilite la détection des systèmes « shadow IT » et facilite leur migration vers des systèmes supportés par l’entreprise;
• DMARC déclenche l'accès à la fonctionnalité BIMI qui permet d’afficher à vos destinataires votre logo d'entreprise à côté de votre adresse e-mail. Cela dynamisera vos campagnes de marketing et permettra à vos destinataires d'identifier rapidement vos e-mails grâce à votre logo;
• Dans les contrats avec les banques notamment, DMARC vous permet de vous conformer aux clauses de non responsabilité en cas de “phishing” réussi avec vos domaines.
• DMARC est un sujet de préoccupation croissant chez les DSI et RSSI, et de nombreux organismes comme l'ANSSI et la FBF recommandent sa mise en place pour profiter de ses bienfaits.

"Le retour sur investissement de la mise en place de DMARC couvre généralement les coûts projet (moins de tickets de supports informatiques, moins de fraudes, + de clics sur vos e-mails marketing et donc + de revenus)."

Nous mettons à disposition de nos clients la seule solution d’analyse des rapports DMARC conçue spécifiquement pour faciliter la gestion d’un projet d’authentification des e-mails :​​

• Détection automatique et facile des sources d’e-mails légitimes;

• Possibilité de tagger une source d’e-mails comme étant « légitime » afin de se concentrer sur l’authentification de cette source;​​

• Tutoriels d'authentification des sources directement intégrés;

• Possibilité d’inscrire des commentaires en dessous de chaque source afin de décrire à qui appartient ce système et la procédure à suivre pour authentifier les e-mails qu’il émet. Parfait pour conserver le savoir et faciliter la gestion d’un projet d’authentification des e-mails. A ce jour dmarc.fr est la seule solution sur le marché vous proposant cette fonctionnalité;

• ​Possibilité d’extraire l’ensemble des statistiques et plans d’actions pour chaque domaine et source dans un fichier Excel préformaté. Cela facilite grandement la communication des actions à réaliser au sein de l’entreprise. A ce jour dmarc.fr est la seule solution sur le marché vous proposant cette fonctionnalité ;

• ​Possibilité de création d’alertes pour détecter les nouvelles sources d’e-mails non authentifiées;​

• ​Historisation de vos changements DNS SPF et DMARC et alerte en cas d’erreur de syntaxe;​​

• Support professionnel à l’authentification par e-mails, teams et webinar;

• 1 rapport simple et intuitif, filtrable dynamiquement en un clic vous permettant de détecter facilement quels systèmes émettent des e-mails avec vos noms de domaine;​​

Pour assurer une probabilité de réussite maximale d'un projet d'implémentation de DMARC, il est important que cette gestion de projet soit confiée à un consultant polyvalent ayant eu au préalable des expériences techniques en messagerie (DMARC/SPF/DKIM/Antispam/Serveurs SMTP/Linux/MTA/etc.) et connaissant les processus et services d'une entreprise.

Ce bagage de connaissances lui permettra de mieux communiquer les enjeux du projet et de débloquer des situations où il faut être capable d’aider des interlocuteurs ne connaissant pas le domaine.

Vous l'aurez compris, la mise en place de DMARC au sein d'une multinationale n'est pas simple et nécessite des compétences particulières tant en gestion de projet que techniquement. Mais son implémentation est riche d'échanges avec l'ensemble des services et crédibilise la valeur ajoutée que peut apporter la DSI et le RSSI auprès des grands services de l'entreprise. En effet, les bénéfices de la mise en place de DMARC sont remarquables pour ces services : meilleur confiance dans les transactions e-mails, fraudes rendues plus difficiles, meilleure délivrabilité des e-mails et donc de meilleurs taux de clic sur les e-mails marketing, etc.

Pour faciliter l'analyse des rapports DMARC, l'outil d'analyse des rapports DMARC que vous utilisez doit être simple et intuitif, et tenir sur une même page filtrable sur plusieurs critères afin de permettre une analyse à travers plusieurs prismes de représentation graphique (par domaine, par IPs, par hostnames, par résultats DKIM/SPF, etc.). Cette capacité à circuler rapidement dans les rapports DMARC permettra à des yeux aguerris d'identifier des sources d'émissions légitimes perdues parmi le "bruit" des rapports DMARC reçus.

Au cours de cette analyse il sera important d'identifier différents types de systèmes :

• les systèmes émettant des e-mails de manière légitime et authentifiée (vos serveurs mails par exemple);
• les systèmes émettant des e-mails de manière légitime mais dont les e-mails ne sont pas encore authentifiés (la mailing list du marketing ou le service de facturation par exemple);
• les systèmes émettant des e-mail de manière non authentifiée et appartenant à des fournisseurs et à leurs sous-traitants (votre centre d'appel externalisé par exemple);
• les systèmes émettant des e-mails de manière non authentifiée par le biais des "forwards d'e-mail" ou des listes d'e-mails (liste de diffusion sympa par exemple);
• les systèmes émettant des e-mails de manière non légitime et non authentifiée (Pirates/Bots ou Shadow IT).

Chaque type de systèmes fera l'objet d'une prise en compte particulière.