Résumé: Plesk supports a number of anti-spam solutions used to validate the identity of mail senders.

In this topic, you will learn how to configure DKIM, SPF, and DMARC protection in Plesk.

Here is a short summary of the three mechanisms described in this topic and what they do:

  • DKIM (DomainKeys Identified Mail) est une méthode utilisée pour associer l’identité d’un nom de domaine à un message sortant et pour valider l’identité d’un nom de domaine associée à un message entrant par authentification cryptographique.
  • SPF (Sender Policy Framework) est une méthode utilisée pour empêcher la falsification d’adresses d’expéditeurs, c’est-à-dire l’utilisation de fausses adresses d’expéditeurs. Elle permet au serveur de messagerie de vérifier que le mail entrant d’un domaine vient d’un hôte autorisé par l’administrateur de ce domaine. De plus, Plesk utilise SRS (Sender Rewriting Scheme), de sorte que les messages transférés puissent passer le contrôle SPF.
  • DMARC (Domain-based Message Authentication, Reporting et Conformance) est une technologie qui permet d’étendre les fonctionnalités des méthodes SPF et DKIM. La politique DMARC détermine la façon dont les mails sont gérés selon les résultats des vérifications DKIM et SPF.

Configuration du serveur de messagerie requise pour ces solutions :

Serveur de messagerie DKIM SPF* SRS DMARC
Postfix (Linux)
Qmail (Linux)
MailEnable Professional (Windows)
MailEnable Standard (Windows) Version 9.16 ou ultérieure
SmarterMail (Windows)
IceWarp (Windows)

Dans cette table, “+” signifie que la solution est prise en charge par toutes les versions prises en charge par Plesk Obsidian. ‘-‘ signifie que la solution n’est pas prise en charge.

Note: *Dans le tableau ci-dessus, « Prise en charge SPF » signifie que la norme SPF est prise en charge pour les mails entrants. Pour les serveurs de messagerie Linux, vous voyez un symbole ‘+’, car Plesk pour Linux prend en charge la norme SPF pour les mails entrants et pour les mails sortants. Pour les serveurs de messagerie Windows, vous voyez un symbole ‘-’, car Plesk pour Windows prend en charge la norme SPF uniquement pour les mails sortants.

DKIM

Lorsque DKIM est activé pour un domaine, un en-tête spécial est attaché à tous les mails expédiés depuis le domaine. Cet en-tête contient une clé privée chiffrée. Les serveurs de messagerie destinataires utilisent une clé publique pour vérifier si le message a bien été envoyé depuis le domaine et si personne n’a compromis son contenu lors du transfert. Les messages qui ne comportent pas cet en-tête sont considérés comme n’étant pas authentiques.

Pour assurer la prise en charge DKIM, Plesk utilise une bibliothèque externe (Linux) ou le serveur de messagerie utilisé dans Plesk (Windows).

Activer ou désactiver DKIM sur le serveur

DKIM est activé par défaut dans Plesk. Pour désactiver DKIM ou le conserver uniquement pour les mails sortants ou entrants, allez dans Outils & Paramètres > Paramètres du serveur de messagerie (groupe « Mail »). Faites défiler jusqu’à la section « Protection anti-spam DKIM » et décochez une ou les deux des cases suivantes :

  • « Autoriser la signature des mails sortants ». Cette option permet aux clients de gérer par domaine la signature DKIM des mails sortants.
  • (Plesk pour Linux) « Vérifier les mails entrants ». Cette option active la vérification DKIM pour tout mail entrant. Tous les messages sont vérifiés et si la vérification échoue, les messages sont signalés avec l’en-tête spécifique.

Note: Vous ne pouvez pas désactiver la vérification DKIM pour les mails entrants si DMARC est activé.

Activer DKIM pour un domaine

Si la signature DKIM est activée sur le serveur, les nouveaux domaines avec hébergement de messagerie et DNS sur Plesk signent automatiquement et par défaut leurs mails sortants avec DKIM.

Les domaines qui utilisent un serveur DNS externe ne peuvent pas activer DKIM par défaut. Pour signer les mails sortants avec DKIM, Plesk doit ajouter les deux enregistrements suivants à la zone DNS du domaine (example.com correspond à votre nom de domaine) :

  • default._domainkey.example.com contient la partie publique de la clé générée.
  • _ domainkey.exemple.com contient la politique DKIM. Vous pouvez modifier cette politique.

Plesk ne peut pas ajouter des enregistrements aux domaines qui utilisent un serveur DNS externe (contrairement aux domaines hébergés dans Plesk). Pour ces domaines, vous devez activer manuellement DKIM.

Pour activer la signature DKIM pour les mails sortants pour un domaine qui utilise un serveur DNS externe :

  1. Allez sous Sites Web & Domaines > votre domaine > onglet « Mail » > Paramètres de la messagerie.

  2. Gardez la case « Utiliser le système anti-spam DKIM pour signer les mails sortants » cochée.

  3. Cliquez sur l’indication « Comment configurer le DNS externe ». Copiez les deux enregistrements DNS que vous voyez ici et ajoutez-les au serveur DNS.

    Note: Si vous utilisez des alias de domaine pour envoyer des mails, ajoutez également les enregistrements DNS DKIM pour ces alias. Utilisez les mêmes enregistrements que pour le domaine principal, mais avec le nom de l’alias de domaine.

    image DKIM external DNS

SPF et SRS

SPF (Sender Policy Framework) est une méthode utilisée pour empêcher la falsification d’adresses d’expéditeurs, c’est-à-dire l’utilisation de fausses adresses d’expéditeurs. Cette méthode permet à l’administrateur d’un domaine de définir une politique qui autorise des hôtes spécifiques à envoyer des mails depuis le domaine. Le serveur de messagerie cible vérifie si les mails entrants depuis un domaine sont émis par un hôte autorisé par l’administrateur de ce domaine. La méthode SPF se base sur des règles spécifiées par l’administrateur dans la zone DNS de l’expéditeur.

Dans Plesk, vous pouvez définir une politique SPF pour les mails sortants en indiquant les règles dans un enregistrement DNS. Dans Plesk pour Linux, SPF vérifie également par défaut les mails entrants.

Lorsque la méthode SPF est configurée, le serveur mail vérifie les mails entrants à l’aide des étapes suivantes de l’algorithme :

  1. Lire les règles locales.

    Les règles locales sont des règles utilisées par le filtre antispam. Voici un exemple de règles locales : a:test.plesk.com.

  2. Chercher l’enregistrement SPF DNS de l’expéditeur (le cas échéant).

    Voici un autre exemple d’enregistrement SPF : example.com. TXT v=spf1 +a +mx -all

  3. Concaténer les règles locales et l’enregistrement SPF en une politique sortante.

    Dans notre exemple, la politique résultante sera example.com. TXT v=spf1 +a +mx +a:test.plesk.com -all.

    Note: Si le serveur de messagerie ne détecte aucun enregistrement SPF, la politique résultante inclura uniquement les règles locales.

  4. Vérifiez les mails en fonction de la politique résultante de l’étape précédente.

  5. Lire les règles d’évaluation.

    Les règles d’évaluation sont des règles globales qui écrasent l’enregistrement SPF. Voici un exemple de règle d’évaluation : v=spf1 +a/24 +mx/24 +ptr ?all.

  6. Vérifier les mails uniquement en fonction des règles d’évaluation.

  7. Comparer les résultats de deux vérifications : ceux de la politique résultante (étape 4) et ceux des règles d’évaluation uniquement (étape précédente). Appliquez la vérification correspondant au résultat le plus permissif.

Pour en savoir plus sur les statuts de vérification SPF, consultez la page.

Pour configurer une politique SPF pour les mails sortants :

Go to Tools & Settings > DNS Settings (under « General Settings ») and edit the TXT DNS record related to SPF. This DNS record is always present in the server-wide DNS template. Here is an example of SPF record created by Plesk:

example.com.    TXT    v=spf1 +a +mx +a:test.plesk.com -all

Les différentes parties de cet enregistrement ont la signification suivante :

Partie Description
v=spf1 Le domaine utilise SPF en version 1.
+a Tous les hôtes des enregistrements « A » sont autorisés à envoyer des mails.
+mx Tous les hôtes des enregistrements « MX » sont autorisés à envoyer des mails.
+a:test.plesk.com Le domaine test.plesk.com est autorisé à envoyer des mails.
-all Tous les autres domaines n’ont pas l’autorisation d’envoyer des mails.

Pour en savoir plus sur la syntaxe des enregistrements DNS SPF, consultez la page :. La politique des notations est disponible ici : RFC7208.

(Plesk pour Linux) Pour configurer SPF afin de vérifier les mails entrants :

  1. Allez dans Outils & Paramètres > Paramètres du serveur de messagerie (sous « Mail ») et faites défiler jusqu’à la section « Protection anti-spam SPF ».

  2. Sélectionnez une option dans la zone de liste déroulante Mode de contrôle du SPF pour spécifier comment traiter l’e-mail quand SPF applique les règles locales et d’évaluation:

    1. Créer seulement des en-têtes Received-SPF et ne jamais bloquer - pour accepter tous les messages entrants quels que soient les résultats de la vérification SPF.
    2. En cas de problème lors de la recherche des DNS, utiliser les messages d’erreur temporaires - pour accepter tous les messages entrants quels que soient les résultats de la vérification SPF, même si la vérification SPF a échoué en raison de problèmes de recherche DNS.
    3. Rejeter le mail quand SPF se résout en « fail » (refus) - pour rejeter les messages des expéditeurs qui ne sont pas autorisés à utiliser le domaine concerné.
    4. Rejeter le mail quand SPF se résout en « soffail » - pour rejeter les messages des expéditeurs qui ne peuvent pas être identifiés par le système SPF comme autorisés ou ne sont pas autorisés parce que le domaine n’a pas d’enregistrements SPF publiés.
    5. Rejeter le mail quand SPF se résout en « neutral » - pour rejeter les messages des expéditeurs qui ne peuvent pas être identifiés par le système SPF comme autorisés ou ne sont pas autorisés parce que le domaine n’a pas d’enregistrements SPF publiés.
    6. Rejeter le mail quand SPF ne résout pas en « pass » - pour rejeter les messages qui ne passent pas la vérification SPF pour quelque raison que ce soit (par exemple, lorsque le domaine de l’expéditeur ne met pas en œuvre SPF et la vérification SPF renvoie le statut « unknown »).
  3. Pour spécifier les règles locales, tapez les règles dont vous avez besoin dans le champ Règles SPF locales.
    Par exemple : include:spf.trusted-forwarder.org.

    En savoir plus sur les règles SPF.

  4. Vous pouvez aussi spécifier les règles d’évaluation dans le champ Règles d’évaluation SPF.

    Par exemple : v=spf1 +a/24 +mx/24 +ptr ?all

  5. Pour définir un message d’erreur arbitraire qui sera renvoyé à l’émetteur SMTP quand un mail sera rejeté, saisissez le texte du message dans la zone de saisie Explication du SPF.

    Si aucune valeur n’est définie, c’est le texte par défaut qui sera utilisé pour la notification.

  6. Pour terminer la configuration, cliquez sur OK.

(Plesk pour Linux) Pour désactiver la vérification SPF pour les mails entrants :

  1. Allez dans Outils & Paramètres > Paramètres du serveur de messagerie (sous « Mail »).
  2. Dans la section « DMARC », décochez la case Autoriser DMARC à vérifier la messagerie entrante le cas échéant.
  3. Dans la section « Protection anti-spam SPF », décochez la case « Activer la protection anti-spam SPF pour vérifier la messagerie entrante » et cliquez sur OK.

Utilisation de SRS

En plus de SPF, certains serveurs de messagerie dans Plesk prennent en charge SRS (Sender Rewriting Scheme), un mécanisme permettant de réécrire les adresses d’expéditeurs lorsqu’un e-mail est renvoyé de telle sorte que l’e-mail renvoyé continue à être compatible SPF. SRS permet de garantir la remise des messages à leur destinataire au cas où SPF est utilisé.

SRS est utilisé automatiquement lorsque des messages sont transférés depuis des boîtes mail hébergées sous Plesk.

Pour assurer la fonctionnalité SRS, Plesk utilise une bibliothèque externe (Linux) ou un logiciel de serveur de messagerie (Windows).

DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) est une technologie qui étend les fonctionnalités des politiques expéditeur SPF et DKIM . La politique DMARC détermine la façon dont les mails sont gérés selon les résultats des vérifications DKIM et SPF. Cette technologie s’appuie sur les règles indiquées dans la zone DNS de l’expéditeur.

Dans Plesk, vous pouvez définir une politique DMARC pour les mails sortants en spécifiant les règles dans un enregistrement DNS.

Note: Dans Plesk pour Linux et Plesk pour Windows avec SmarterMail, DMARC vérifie par défaut également les mails entrants.

Pour configurer une politique DMARC personnalisée pour les mails sortants :

  1. Allez dans Outils & Paramètres > Paramètres DNS (sous « Paramètres généraux »).
  2. Éditez les enregistrements DNS associés à la politique DMARC. Ces enregistrements DNS sont toujours présents dans le template DNS pour l’ensemble du serveur. A contrario, les enregistrements DNS associés à DKIM sont ajoutés aux zones DNS des domaines individuels lorsque DKIM est activé sur le domaine.

Par exemple, la politique DMARC par défaut de Plesk est définie dans l’entrée :

_dmarc.<domain>.    TXT    v=DMARC1; adkim=s; aspf=s; p=quarantine

Selon cette politique, le serveur de messagerie entrant doit placer en quarantaine les e-mails qui ne passent pas les vérifications DKIM et SPF. Lorsqu’ils sont « en quarantaine », les e-mails sont placés dans le dossier spam et marqués comme suspects. Vous pouvez définir une politique plus stricte. Toutefois, le serveur de destination est libre d’appliquer sa propre politique pour les mails entrants.

Pour plus d’informations sur DMARC, y compris sur les notations des politiques, consultez.

Les domaines ont également leurs politiques DMARC individuelles. Celles-ci peuvent être éditées par les clients. Pour les nouveaux domaines avec DNS et hébergement de messagerie dans Plesk, la politique de quarantaine DMARC est activée par défaut.

Pour désactiver DMARC pour les mails entrants :

  1. Allez dans Outils & Paramètres > Paramètres du serveur de messagerie (sous « Mail »).
  2. Dans la section DMARC, décochez la case « Autoriser DMARC à vérifier la messagerie entrante » et cliquez sur OK.