Audit Microsoft 365 : protéger son domaine de courriel

Interroger le DNS

Ces trois mécanismes sont publiés dans le DNS de votre domaine. Il suffit de quelques requêtes pour les lire, sans aucun accès au tenant :

DOMAINE=exemple.ca

dig +short TXT "$DOMAINE" | grep -i "v=spf1"           # SPF
dig +short TXT "_dmarc.$DOMAINE"                       # DMARC
dig +short CNAME "selector1._domainkey.$DOMAINE"       # DKIM (Microsoft 365)
dig +short CNAME "selector2._domainkey.$DOMAINE"

Sous Windows, sans dig :

$domaine = "exemple.ca"
(Resolve-DnsName -Type TXT $domaine).Strings | Where-Object { $_ -like "v=spf1*" }
(Resolve-DnsName -Type TXT "_dmarc.$domaine").Strings

Lire l’enregistrement SPF

SPF liste les serveurs autorisés à envoyer pour votre domaine. Pour Microsoft 365, il contient au minimum include:spf.protection.outlook.com. Les points à vérifier :

• Un seul enregistrement SPF. Deux enregistrements v=spf1 invalident SPF entièrement.
• La terminaison. -all rejette les expéditeurs non listés, ~all les signale seulement. +all autorise tout le monde : c’est un constat critique.
• La limite de 10 recherches DNS. Chaque include en compte au moins une. Au-delà de dix, SPF échoue.

Vérifier DKIM

DKIM signe cryptographiquement chaque courriel sortant. Dans Microsoft 365, les deux CNAME selector1 et selector2 doivent exister, et la signature doit être activée pour chaque domaine personnalisé :

# Module officiel : Install-Module ExchangeOnlineManagement -Scope CurrentUser
Connect-ExchangeOnline -ShowBanner:$false

Get-DkimSigningConfig | Select-Object Domain, Enabled, Status

Un domaine avec Enabled à False envoie des courriels signés seulement avec le domaine onmicrosoft.com, ce qui affaiblit l’alignement DMARC.

Interpréter DMARC

DMARC indique aux serveurs destinataires quoi faire d’un courriel qui échoue SPF et DKIM, et à qui envoyer les rapports. La politique p= est l’élément clé :

• p=none : surveillance seulement. Utile au départ, mais ne protège pas contre l’usurpation.
• p=quarantine : les courriels non conformes vont dans les indésirables.
• p=reject : les courriels non conformes sont refusés. C’est l’objectif.

Nous recommandons d’ajouter une adresse de rapports (rua=), d’analyser les rapports quelques semaines pour repérer les expéditeurs légitimes oubliés (infolettre, facturation, CRM), puis de passer graduellement à quarantine et à reject.

Les domaines qui n’envoient pas de courriel

Un domaine secondaire ou réservé, sans SPF ni DMARC, est une cible idéale pour l’usurpation. Même s’il n’envoie jamais de courriel, publiez :

• un SPF qui n’autorise personne : v=spf1 -all ;
• un DMARC qui rejette tout : v=DMARC1; p=reject;.