URL: https://linuxfr.org/users/llaxe/journaux/authentifier-nest-pas-autoriser Title: Authentifier n'est pas autoriser Authors: llaxe Date: 2010年08月18日T18:43:35+02:00 Tags: Score: 8 Coucou tout le monde, Vous vous souvenez peut-être de [ce sondage](https://linuxfr.org/poll/send,198.html) sur spf : [[Sender_Policy_Framework]], dkim:[[DomainKeys_Identified_Mail]], etc... J'avais mis en place spf et dkim chez moi suite à ce sondage. Finalement, ça a surtout augmenté ma "délivrabilité", mais comme outil contre le spam, j'ai l'impression que c'est très moyen. J'imagine que ça a déjà été maintes fois discuté, mais bon, voilà mon compte-rendu. Au départ je me suis dit que spf pourrait permettre de lutter contre le forgeage de mon domaine. Mais si ça marche pour mon domaine, ça n'est pas forcément le cas pour les autres domaines. Finalement, j'ai trouvé plus simple. Je refuse tout serveur qui prétend s'appeler comme moi. J'oblige les utilisateurs (cercle familial, ça va) à s'authentifier via submission en utilisant reject_auth_login_mismatch dans postfix. Si des utilisateurs veulent utiliser d'autres adresses d'envoi que celle de chez moi, je peux rajouter une liste d'adresses permises avec leur identifiant. Pour mon serveur personnel, c'est suffisant, et ça n'a pas posé problème pour le moment. Je raisonne dans la perspective où tout le monde ferait ainsi: seuls les utilisateurs authentifiés pourraient envoyer des mails, et encore uniquement avec des adresses définies. Ça réduirait sérieusement les sources de spam. Pour dkim, ça permet aux autres serveurs d'authentifier les mails envoyés par mon serveur, mais ça ne permet pas de rejeter les mails qui ne valident pas le test. Gmail par exemple est souvent relayé d'une manière ou d'une autre, ce qui casse parfois la signature. Je ne vais pour autant tout rejeter. Cependant comme certains noms de domaine ont des signatures qui valident toujours, je pourrais peut-être rejeter les mails qui ne valident pas quand ils viennent de ces domaines. En fait, je pense que spf et dkim peuvent surtout être utilisés pour scorer des mails dans spamassassin par exemple. Mais les deux normes me paraissent globalement inutiles du point de vue du spam, car aucune des deux ne permet de s'assurer que le message envoyé n'est pas un spam. Rien ne dit que toutes les adresses d'un nom de domaine utiliseront les smtp prévus par les admin de ce nom de domaine pour envoyer leurs mails. Comme le dit Bortzmeyer (cf fin), ce sont des normes qui permettent d'authentifier des serveurs émetteurs. À mon avis elles ne renseignent pas plus a priori que des listes blanches/noires sur le contenu des messages de ces serveurs, non plus qu'elles ne renseignent a priori sur le contenu envoyé par des serveurs non authentifiés. Et pour les deux, le taux de faux-positifs monte vite si on applique bêtement les règles. Est-ce que vous voyez dans ces normes une utilité que j'ai loupée? [http://www.bortzmeyer.org/authentifier-et-autoriser.html](http://www.bortzmeyer.org/authentifier-et-autoriser.html) [http://www.postfix.com/postconf.5.html#reject_sender_login_m(...)](http://www.postfix.com/postconf.5.html#reject_sender_login_mismatch)