Partie 4 : Configurer SPF et DKIM avec Postfix sur Ubuntu Serveur

SPF et DKIM sont deux types d’enregistrements TXT dans DNS qui vous permettent de détecter l’usurpation d’e-mail et d’aider les e-mails légitimes à être envoyés dans la boîte de réception du destinataire au lieu du dossier spam.

Si votre domaine est victime d’usurpation d’e-mails, vos e-mails risquent d’atterrir dans le dossier spam du destinataire s’il ne vous a pas ajouté au carnet d’adresses.

L’enregistrement SPF (Sender Policy Framework) spécifie quels hôtes ou adresses IP sont autorisés à envoyer des e-mails au nom d’un domaine.

Vous devez autoriser uniquement votre propre serveur de messagerie ou celui de votre FAI à envoyer des e-mails pour votre domaine.

DKIM (DomainKeys Identified Mail) utilise une clé privée pour ajouter une signature aux e-mails envoyés depuis votre domaine.

Les serveurs SMTP de réception vérifient la signature en utilisant la clé publique correspondante, qui est publiée dans votre gestionnaire DNS.

Dans votre interface de gestion DNS, créez un nouvel enregistrement TXT ou SPF. 9a dépend de votre registrar. Je vais vous expliquer les deux méthodes comme ci-dessous.

Explication :

• TXT indique qu’il s’agit d’un enregistrement TXT.
• Entrez @ dans le champ du nom.
• v=spf1 indique qu’il s’agit d’un enregistrement SPF et que la version de l’enregistrement SPF est SPF1.
• Mx signifie que tous les hôtes répertoriés dans les enregistrements MX sont autorisés à envoyer des e-mails pour votre domaine et que tous les autres hôtes sont interdits.
• ~all indique que les e-mails de votre domaine ne doivent provenir que d’hôtes spécifiés dans l’enregistrement SPF. Les e-mails provenant d’autres hôtes seront signalés comme non fiables. Les alternatives possibles sont +all, -all, ?all, mais elles sont rarement utilisées.

-all signifie que les e-mails envoyés depuis des hôtes non autorisés doivent être rejetés et ne jamais atterrir dans la boîte de réception ou dans le dossier spam du destinataire.

Certaines personnes pourraient penser que ce -all sera mieux, car cela rejettera les e-mails provenant d’hôtes non fiables.

Eh bien, l’utilisation -all dans votre politique SPF peut entraîner le rejet de vos propres e-mails lorsque le destinataire dispose de deux serveurs SMTP et que le serveur SMTP principal se déconnecte, vos e-mails seront temporairement stockés sur le serveur SMTP de sauvegarde.

Lorsque le serveur SMTP principal revient en ligne, l’e-mail sera relayé du serveur SMTP de sauvegarde vers le serveur SMTP principal.

Puisque vous n’avez pas répertorié le serveur SMTP de sauvegarde du destinataire dans votre politique SPF, l’e-mail sera rejeté par le serveur SMTP principal du destinataire.

Vous devriez donc l’utiliser ~all dans votre politique SPF.

Notez que certains gestionnaires DNS exige que vous enveloppiez l’enregistrement SPF avec des guillemets comme ci-dessous.

C’est la même procédure sauf que là, nous choisissons Le protocole directement SPF

Sur Ubuntu, vous devez installer le bind9-dnsutilspackage pour pouvoir utiliser dig la commande :

Pour vérifier si votre enregistrement SPF est propagé sur l’Internet public, vous pouvez utiliser l’utilitaire « dig » sur votre machine Linux comme ci-dessous.

L’option txt indique dig que nous souhaitons uniquement interroger les enregistrements TXT.

Vous pouvez également utiliser dmarcian SPF surveyor pour tester la syntaxe de votre enregistrement SPF.

Nous devons également indiquer à notre serveur SMTP Postfix de vérifier l’enregistrement SPF des e-mails entrants.

Cela ne permet pas de garantir la livraison des e-mails sortants, mais aide à détecter les faux e-mails entrants.

Tout d’abord, installez-les packages requis :

Modifiez ensuite le fichier de configuration du processus maître Postfix.

Ajoutez les lignes suivantes à la fin du fichier, qui indiquent à Postfix de démarrer le démon de politique SPF lorsqu’il démarre lui-même.

Enregistrez et fermez le fichier. Ensuite, modifiez le fichier de configuration principal de Postfix.

Ajoutez les lignes suivantes à la fin du fichier. La première ligne spécifie le paramètre de délai d’expiration de l’agent de stratégie Postfix.

Les lignes suivantes imposeront une restriction sur les e-mails entrants en rejetant les e-mails non autorisés et en vérifiant l’enregistrement SPF.

Enregistrez et fermez le fichier. Redémarrez ensuite Postfix.

La prochaine fois, lorsque vous recevrez un e-mail provenant d’un domaine doté d’un enregistrement SPF, vous pourrez voir les résultats de la vérification SPF dans l’en-tête brut de l’e-mail.

L’en-tête suivant indique que l’expéditeur a envoyé l’e-mail à partir d’un hôte autorisé.

Tout d’abord, installez OpenDKIM qui est une implémentation open source du système d’authentification de l’expéditeur DKIM.

Ajoutez ensuite l’utilisateur postfix au groupe opendkim.

Modifiez le fichier de configuration principal d’OpenDKIM.

Trouvez la ligne suivante.

Par défaut, les journaux OpenDKIM seront enregistrés dans /var/log/mail.log un fichier.

Ajoutez la ligne suivante pour qu’OpenDKIM génère des journaux plus détaillés pour le débogage.

Localisez les lignes suivantes. ET changer le chemin

Par défaut, ils sont commentés. Merci de ne pas les décommenter.

Ensuite, trouvez les lignes suivantes. Décommentez-les et remplacez- simple par

Ajoutez ensuite les lignes suivantes sous  #ADSPAction continue la ligne.

Si votre fichier n’a pas #ADSPAction continue de ligne, ajoutez-les simplement ci-dessous

Ensuite, ajoutez les lignes suivantes à la fin de ce fichier.

(Notez que sur Ubuntu 20.04, l’ID utilisateur est déjà défini sur opendkim)

Utilisateur #OpenDKIM

# N’oubliez pas d’ajouter le suffixe utilisateur au groupe opendkim

# Mapper les domaines dans les adresses De vers les clés utilisées pour signer les messages

# Hôtes à ignorer lors de la vérification des signatures

# Un ensemble d’hôtes internes dont le courrier doit être signé

Enregistrez et fermez le fichier.

Créer une structure de répertoires pour OpenDKIM

Remplacez le propriétaire root par opendkim assurez-vous que seul opendkim l’utilisateur peut lire et écrire dans le répertoire des clés.

Créez la table de signature.

Ajoutez les deux lignes suivantes au fichier.

Cela indique à OpenDKIM que si un expéditeur sur votre serveur utilise une @domain.tldt adresse, celle-ci doit alors être signée avec la clé privée identifiée par default._domainkey.domain.tld.

La deuxième ligne indique que vos sous-domaines seront également signés par la clé privée.

Enregistrez et fermez le fichier.

Créez ensuite la table de clés.

Ajoutez la ligne suivante, qui indique l’emplacement de la clé privée.

Enregistrez et fermez le fichier. Ensuite, créez le fichier d’hôtes de confiance.

Ajoutez les lignes suivantes au fichier nouvellement créé. Cela indique à OpenDKIM que si un e-mail provient d’un hôte local ou du même domaine, OpenDKIM doit uniquement signer l’e-mail mais ne pas effectuer de vérification DKIM sur l’e-mail.

Enregistrez et fermez le fichier.

Remarque : Vous ne devez pas ajouter un astérisque dans le nom de domaine comme ceci : *.osneworking.com.

Il ne doit y avoir qu’un point devant le nom de domaine.

Puisque DKIM est utilisé pour signer les messages sortants et vérifier les messages entrants, nous devons générer une clé privée pour la signature et une clé publique pour le vérificateur à distance.

La clé publique sera publiée dans le DNS.

Créez un dossier distinct pour le domaine.

Générez des clés à l’aide opendkim-genkeyde l’outil.

La commande ci-dessus créera des clés de 4096 bits. -d (domain)spécifie le domaine.

• -D (directory) spécifie le répertoire où les clés seront stockées et que nous utilisons default
• selector (-s), également connu sous le nom de nom.

Une fois la commande exécutée, la clé privée sera écrite dans default.private un fichier et la clé publique sera écrite dans default.txt un fichier.

Définissez-vous opendkim en tant que propriétaire de la clé privée.

Et modifiez l’autorisation, afin que seul l’utilisateur opendkim ait un accès en lecture et en écriture au fichier.

Afficher la clé publique

La chaîne après le p paramètre est la clé publique.

Dans votre gestionnaire DNS, créez un enregistrement TXT, saisissez-le default._domainkey dans le champ nom.

Revenez ensuite à la fenêtre du terminal, copiez tout ce qui se trouve entre parenthèses et collez-le dans le champ de valeur de l’enregistrement DNS.

Vous devez supprimer tous les guillemets doubles et les espaces blancs dans le champ de valeur.

Si vous ne les supprimez pas, le test de clé de l’étape suivante échouera probablement.

Si vous ne les supprimez pas, le test de clé de l’étape suivante échouera probablement.

Entrez la commande suivante sur le serveur Ubuntu pour tester votre clé.

Si tout va bien, vous verrez Key OK dans la sortie de la commande.

Notez que votre enregistrement DKIM peut avoir besoin d’un certain temps pour se propager sur Internet. Ne pas oublier d’activer le DNSSEC de votre registrar. Selon le registraire de domaine que vous utilisez, votre enregistrement DNS peut se propager instantanément, ou cela peut prendre jusqu’à 24 heures.

Vous pouvez aller sur https://www.dmarcanalyzer.com/dkim/dkim-check/ , entrer default comme sélecteur et entrer votre nom de domaine pour vérifier la propagation des enregistrements DKIM.

Si vous voyez Clé non sécurisée dans le résultat de la commande, ne paniquez pas. En effet, DNSSEC n’est pas activé sur votre nom de domaine. DNSSEC est une norme de sécurité pour les requêtes DNS sécurisées.

La plupart des noms de domaine n’ont pas activé DNSSEC. Il n’y a absolument pas lieu de s’inquiéter du fait que la clé n’est pas sécurisée. Vous pouvez continuer à suivre ce guide.

Si vous voyez l’erreur d’expiration du délai de requête, vous devez commenter la ligne suivante dans /etc/opendkim.conf le fichier et redémarrer opendkim.service.

Postfix peut communiquer avec OpenDKIM via un fichier socket Unix. Le fichier socket par défaut utilisé par OpenDKIM est /var/run/opendkim/opendkim.sock, comme indiqué dans /etc/opendkim.conf le fichier.

Mais le démon SMTP Postfix fourni avec Ubuntu s’exécute dans une prison chroot, ce qui signifie que le démon SMTP résout tous les noms de fichiers relatifs au répertoire de file d’attente Postfix (/var/spool/postfix).

Nous devons donc modifier le fichier de socket OpenDKIM Unix.

Créez un répertoire pour contenir le fichier de socket OpenDKIM et autorisez uniquement l’utilisateur opendkim et postfix le groupe à y accéder.

Modifiez ensuite le fichier de configuration principal d’OpenDKIM.

Recherchez la ligne suivante (Ubuntu 20.04)

Remplacez-le par la ligne suivante. (Si vous ne trouvez pas la ligne ci-dessus, ajoutez la ligne suivante.)

Enregistrez et fermez le fichier.

Si vous pouvez trouver la ligne suivante dans /etc/default/opendkim le fichier.

Ou

Changez-le en

Enregistrez et fermez le fichier.

Ensuite, nous devons éditer le fichier de configuration principal de Postfix.

Ajoutez les lignes suivantes à la fin de ce fichier, afin que Postfix puisse appeler OpenDKIM via le protocole milter.

Enregistrez et fermez le fichier.

Puis redémarrez opendkim et postfix effectuez l’entretien.

Vous pouvez désormais envoyer un e-mail test depuis votre serveur de messagerie vers votre compte Gmail pour voir si les contrôles SPF et DKIM ont réussi.

Voici l’adresse mail check-auth@verifier.port25.com. Sur le côté droit d’un e-mail ouvert dans Gmail, si vous cliquez sur le show original bouton dans le menu déroulant, vous pouvez voir les résultats de l’authentification.

J’ai fait le test depuis Outlook, j’ai reçu un mail avec toutes les explications du test.

Voici ce que j’ai reçu, mais je vous mets juste le résultat

Votre serveur de messagerie effectuera également des vérifications SPF et DKIM sur le domaine de l’expéditeur.

Vous pouvez voir les résultats dans les en-têtes des e-mails.

Ce qui suit est la vérification SPF et DKIM d’un expéditeur utilisant Gmail.

Vous pouvez également vous rendre sur https://www.mail-tester.com.

Vous verrez une adresse e-mail unique. Envoyez un e-mail depuis votre domaine à cette adresse, puis vérifiez votre score.

Comme vous pouvez le constater, j’ai obtenu un score parfait.

Mail-tester.com ne peut vous montrer qu’un score d’expéditeur.

Il existe un autre service appelé GlockApps qui vous permet de vérifier si votre e-mail est placé dans la boîte de réception ou dans le dossier spam du destinataire, ou s’il est carrément rejeté.

Il prend en charge de nombreux fournisseurs de messagerie populaires tels que Gmail, Outlook, Hotmail, YahooMail, iCloud Mail, etc.