Les solutions de protection de la messagerie française sont-elles bien sécurisées ?
Le ministère de l’Économie a mis en place un outil pour sensibiliser les entreprises à la sécurité. Cet outil comporte un volet concernant la sécurité de la messagerie électronique. Ce service en ligne proposé par le Service du Haut Fonctionnaire de Défense et de Sécurité du ministère de l’Économie analyse la configuration du domaine, notamment l’utilisation de DNSSEC et les MX utilisés. Il étudie les champs SPF, DKIM et DMARC utilisés pour définir respectivement : la liste des serveurs autorisés à envoyer des emails, l’utilisation de signature numérique sur les messages sortants afin d’assurer leurs intégrités et les règles d’application des politiques de sécurité sur les emails envoyés par le domaine analysé. L’outil vérifie également l’autoconfig mise en place pour s’assurer des règles par défaut proposées par le domaine sur le paramétrage des outils de récupération des messages électroniques.
Nous avons testé avec cet outil la qualité de la sécurité des principales solutions de protection de la messagerie électronique présentes sur le marché français. Bien que ce test ne préjuge pas de l’aptitude du service rendu par les différentes solutions, il montre le sérieux et l’importance de la sécurité pour chacun de ces acteurs. Cependant, les résultats obtenus sont cohérents avec l’image des prestataires. Le tableau ci-dessous reprend les résultats obtenus, avec la note et le label attribué par la plateforme de l’état.
Les résultats sont sans appel. D’après notre étude ils s’expliquent par la présence pour Altospam de datacentres distincts, l’usage de protocoles de sécurité comme TLS1.3, l’OSPF stapling, DNSSEC et DANE qui ne sont pas proposés par ses concurrents.
Il existe d’autres outils sur Internet permettant d’effectuer un diagnostic des différents éléments gérés sur son domaine. À titre d’exemple, https://ns.tools fait un état complet de la configuration d’un domaine et précise les points d’amélioration, https://www.hardenize.com/ analyse plus particulière les aspects sécurité. Avec ces outils les résultats obtenus sont sensiblement les mêmes concernant les différents services de protection de la messagerie évoqués plus haut. Nous vous invitons à regarder par vous-même ce qu’il en est de votre propre domaine, est-il correctement configuré et suffisamment bien sécurisé ?