Pourquoi devons-nous ajouter nos IPs dans le SPF du client pour utiliser son SMTP ?
Comprendre les bases : SMTP et SPF
Un petit rappel
Qu'est-ce que le SMTP ?
Le SMTP (Simple Mail Transfer Protocol) est le protocole standard utilisé pour l'envoi d'emails sur Internet. C'est comme le facteur du monde numérique : il assure la livraison de vos emails à leurs destinataires.
Qu'est-ce que le SPF ?
Le SPF (Sender Policy Framework) est un système de sécurité qui définit quels serveurs sont autorisés à envoyer des emails pour un domaine donné. C'est comme une liste d'expéditeurs de confiance.
Fin du rappel
C'est là que ça devient intéressant. Même si nous avons les identifiants SMTP corrects, les serveurs de messagerie modernes effectuent une double vérification...
1. Processus d'Authentification SMTP
A. Première Vérification - SPF (La pré-authentification SPF)
- Le serveur SMTP vérifie d'abord l'IP qui tente de se connecter
- Il consulte l'enregistrement SPF du domaine d'envoi
- Si l'IP n'est pas autorisée → rejet immédiat
- Si l'IP est autorisée → passage à l'étape suivante
B. Deuxième Vérification - Identifiants
- Vérification du login/mot de passe
- Cette étape n'est atteinte que si l'IP est autorisée
Sources
La pré-authentification SPF
Le mécanisme de pré-authentification SPF est expliqué dans la section "2.4. Checking Authorization" du RFC 4408 où il est détaillé que :
- Le serveur SMTP effectue d'abord une vérification de l'IP via SPF avant toute tentative d'authentification par login/mot de passe
- Cette double vérification est implémentée comme mesure de sécurité
- Elle forme une première barrière avant même de tenter la vérification des identifiants SMTP
À propos du RFC 4408
Le RFC 4408 est un document technique fondamental publié en 2006 par l'Internet Engineering Task Force (IETF). Il a été co-écrit par Meng Weng Wong, l'inventeur du protocole SPF.
Ce document est particulièrement important car :
- C'est la référence officielle qui standardise le protocole SPF
- Il fait partie des RFC (Request For Comments), qui sont les documents techniques définissant les standards d'Internet
- Il est largement adopté par l'industrie du mail
- Il reste aujourd'hui la base des implémentations SPF actuelles
2. Exemple Technique Détaillé
Scénario :
Dans cet exemple, notre serveur 4D ne fait qu'une demande d'envoi au SMTP d'OVH. Ce n'est pas le serveur 4D qui envoie directement le mail, mais bien le serveur SMTP d'OVH qui s'en charge.
- Le serveur 4D (IP: 82.45.128.10) demande au SMTP d'OVH d'envoyer un email
- Cette demande passe par le serveur smtp.ovh.net
- Pour l'adresse email exemple@client.com
Le SPF du domaine est le suivant :
Voilà ce qui se passe au niveau du serveur SMTP d'OVH :
Le nouvel enregistrement devient :
Avec ce nouvel enregistrement, voilà le retour :
3. Pourquoi Cette Sécurité ?
- L'usurpation d'identité par email
- Les tentatives de brute force des mots de passe SMTP
- L'utilisation non autorisée des serveurs SMTP