La sécurité des e-mails est cruciale pour lutter contre le spoofing et le phishing. SPF, DKIM et DMARC aident à authentifier les messages, tandis que BIMI renforce la confiance en affichant les logos de marque vérifiés. Un certificat VMC ajoute une crédibilité supplémentaire en confirmant la propriété du logo. Cet article explore comment ces protocoles améliorent la délivrabilité et la sécurité des e-mails.
Plusieurs mécanismes destinés à augmenter la délivrabilité des emails et se prémunir des usurpations d’identité (Spoofing) existent :
- Sender-Policy-Framework (SPF)– Protocole de validation du courrier électronique permettant notamment de vérifier qu’un courrier entrant qui provient d’un nom de domaine donné provient d’une adresse IP autorisée par les administrateurs dudit domaine, contenue dans l’enregistrement SPF
- DomainKeys Identified Mail (DKIM)– permet à un destinataire de vérifier qu’un email prétendant provenir d’un nom de domaine donné a bien été autorisé par le propriétaire du domaine concerné
- Domain-based Message Authentication Reporting and conformance (DMARC) – Système de validation dédié au traitement des emails non-conformes selon les directives (Rejet, quarantaine…) définies par l’administrateur du nom de domaine. Le DMARC s’appuie sur le SPF et le DKIM afin d’authentifier les emails.
BIMI – Un protocole qui vient en complément des SPF, DKIM et DMARC
Le Brand Indicator for Message Identification (BIMI) est un protocole qui permet d’associer un logo à un email dans la boite de réception de son destinataire :
Ce protocole est né d’un groupe de travail fondé en 2019. Afin d’utiliser le BIMI, l’administrateur d’un nom de domaine devra inclure dans la zone DNS un enregistrement TXT contenant notamment l’adresse URL du logo souhaité, au format .svg.
Il est important de noter qu’afin de pouvoir utiliser BIMI, le nom de domaine concerné doit disposer d’un DMARC valide utilisant une politique de quarantaine (pct 100 minimum) ou de rejet.
Le BIMI a depuis été adopté par plusieurs prestataires de messagerie ; en juin 2023, on compte parmi les messageries utilisant le BIMI :
- AOL mail
- Apple mail
- Fastmail
- Gmail
- La Poste
- Yahoo
On ne peut qu’espérer que cette liste s’agrandisse dans les prochaines années. En effet, l’étude du Department for Science, Innovation & Technology britannique, publiée en 2023 ainsi que le rapport annuel du Ministère français de l’Intérieur sur la Cybercriminalité 2024 le montrent : les cyberattaques reposant sur l’envoi d’emails représentent une proportion importante de l’ensemble des attaques observées.
Dans un tel contexte, il nous semble souhaitable d’élargir l’adoption du protocole BIMI parmi les prestataires de messagerie, en complément des mécanismes existant déjà (SPF, DKIM, DMARC), afin de renforcer la confiance des destinataires d’email.
Quid du certificat VMC dans tout cela ?
Les certificats SSL, qui en réalité devraient être appelés Certificats TLS, sont un mécanisme connu qui permet de sécuriser les échanges entre un internaute et un site web.
En ce qui concerne les emails, le certificat VMC vient en renfort du protocole BIMI évoqué plus haut. Le certificat authentifie le logo utilisé par l’émetteur de l’email comme un logo correspondant à une marque enregistrée, au nom de l’émetteur de l’email.
Si le certificat VMC n’est pas indispensable à l’utilisation du protocole BIMI, certaines messageries peuvent conditionner le fonctionnement du BIMI à la présence d’un certificat VMC.
Les prérequis pour l’obtention d’un certificat VMC sont les suivants :
- Le nom de domaine émetteur doit faire l’objet d’une Politique DMARC valide (cf. plus haut)
- Le logo envisagé doit faire l’objet d’une marque enregistrée (à l’identique)
- Le logo envisagé doit être disponible au format .svg
Le certificat VMC indique non seulement que l’émetteur applique le DMARC, mais vient certifier au destinataire que le logo associé à l’email fait l’objet d’une marque enregistrée par le titulaire du nom de domaine. Il favorise permet de renforcer la confiance vis-à-vis des emails envoyés par un société à ses contacts, qu’il s’agisse de clients, prospects, prestataires, mais également de son propre personnel ou encore ses investisseurs.
Les équipes d’IP Twins vous accompagnent dans l’obtention de votre certificat VMC, de la configuration de votre DNS jusqu’à la délivrance du certificat. N’hésitez pas à vous rapprocher de votre chargé de compte dédié pour plus d’information sur le processus de délivrance du certificat VMC.
