SPF (Sender Policy Framework)
Se protéger contre l’usurpation d’identité avec Sender Policy Framework (SPF)
La majorité des spams circulant sur Internet contient des en-têtes falsifiés. SPF est un standard émergent pour réduire concrètement le nombre de retours expéditeurs reçus sur des e-mails que vous n’avez jamais envoyés. SPF permet de se protéger en partie contre l’usurpation d’identité, et donc de bloquer certains spams et virus avant même la transmission du corps d’un message. SPF protège l’adresse de retour expéditeur d’un e-mail : « Return-Path: » ou « RFC 2821 Envelope Sender ».
AOL travaille avec l’Internet Engineering Task Force (IETF) et les principaux acteurs de l’industrie afin de standardiser et de généraliser des technologies telles que SPF, Caller-ID et DomainKeys sur Internet.
AOL commence à utiliser SPF pour maintenir la liste blanche elle-même, et à vérifier les enregistrements SPF publiés par les domaines de messagerie tiers. Sans enregistrement SPF à jour publié dans le DNS de votre domaine de messagerie, votre enregistrement sur liste blanche risque donc d’expirer.
Publier un enregistrement DNS SPF est extrêmement simple techniquement, et démontre votre motivation à lutter contre l’usurpation d’identité : il suffit de rajouter une ligne – un champ TXT – dans l’entrée DNS correspondant à votre nom de domaine. Alors que les champs « MX » indiquent les serveurs d'e-mail en entrée de votre domaine de messagerie, les champs SPF indiquent quels sont les seuls serveurs autorisés à router les e-mails en sortie de votre domaine.
Un guide pour le déploiement de SPF est disponible sur http://spf.pobox.com/forsysadmins.html, ainsi qu’un assistant pour la rédaction des enregistrements : http://spf.pobox.com/wizard.html.
Si ultérieurement vous souhaitez exploiter SPF pour bloquer les e-mails porteurs d’en-têtes falsifiés sur votre propre serveur d'e-mail, des modules de vérification SPF sont disponibles sur http://spf.pobox.com/downloads.html pour les logiciels serveurs SMTP les plus courants: Sendmail, Postfix, Exim, Qmail...
 |
Le site officiel consacré à SPF est http://spf.pobox.com/ et recense déjà 15.000 domaines ayant adopté cette technologie, dont AOL.com, DynDNS.org, Google.com, GNU.org, Oreilly.com, Oxford.ac.uk, Perl.org, PhilZimmermann.com, SAP.com, Spamhaus.org, Symantec.com, W3.org... |
Fin mai 2004, l’enregistrement SPF pour le domaine de messagerie aol.com est: « v=spf1 ip4:152.163.225.0/24 ip4:205.188.139.0/24 ip4:205.188.144.0/24 ip4:205.188.156.0/23 ip4:205.188.159.0/24 ip4:64.12.136.0/23 ip4:64.12.138.0/24 ptr:mx.aol.com ?all ».