Infomaniak : SPF, DKIM et DMARC pour la messagerie

exemple.fr.  TXT  "v=spf1 include:spf.infomaniak.ch ~all"

DKIM : automatique ou manuel

DKIM suit la même logique que le reste. Quand la zone est chez Infomaniak, l'assistant génère la paire de clés et publie l'enregistrement DKIM tout seul ; la signature produite porte d=exemple.fr, le domaine lui-même, et l'alignement DKIM est acquis d'emblée, y compris en mode strict. Quand la zone est gérée ailleurs, Infomaniak fournit la valeur DKIM à publier manuellement dans l'autre interface DNS. La clé provisionnée est de longueur robuste (2048 bits), attendue par les grands fournisseurs ; c'est un défaut sain qu'il n'y a pas lieu d'affaiblir.

La rotation suit ce même partage : automatique et transparente quand la zone est chez Infomaniak, manuelle sinon — avec le principe de recouvrement habituel (publier la nouvelle clé avant de retirer l'ancienne). C'est la même logique que toute renouvellement des clés de signature, la prise en charge en plus quand tout est au même endroit.

DMARC : l'enregistrement de départ

L'enregistrement DMARC est un TXT sous le sous-domaine _dmarc :

_dmarc.exemple.fr.  TXT  "v=DMARC1; p=none; rua=mailto:rapports@exemple.fr"

L'assistant en propose souvent un en p=none avec une adresse de rapports. C'est exactement le bon départ : la politique n'impose rien, mais les rapports agrégés commencent à affluer. Les exemples annotés, du plus simple au plus strict détaillent les balises à ajuster (sp, adkim, aspf) pour la suite. Sous DMARCbis, le rattachement des sous-domaines se détermine par le DNS Tree Walk, sans changer la façon de publier l'enregistrement.

L'alignement DMARC : le scénario favorable

DMARC ne valide un message que si SPF ou DKIM passe et s'aligne avec le domaine du champ From. La messagerie Infomaniak se place dans le cas favorable. Côté DKIM, la signature porte le domaine lui-même — l'alignement est direct. Côté SPF, l'enveloppe est au domaine, puisque c'est Infomaniak qui héberge le courrier : SPF s'aligne naturellement. Deux mécanismes passent alignés, et cette redondance protège si l'un des deux vient à sauter en chemin.

C'est cette double couverture qui autorise à viser une politique stricte une fois les rapports confirmés — un objectif que l'assistant prépare mais ne franchit pas seul.

DNS chez Infomaniak ou géré ailleurs

Un contrôle préalable conditionne tout le reste : savoir si la zone DNS est réellement chez Infomaniak. C'est ce qui détermine si l'assistant peut publier les enregistrements lui-même, ou s'il faut les reporter à la main dans une autre interface. Un domaine enregistré chez Infomaniak mais dont les serveurs de noms sont délégués ailleurs verra l'assistant proposer des valeurs qu'il ne pourra pas publier — et si l'on oublie de les reporter, l'authentification reste incomplète malgré une interface qui semble avoir « tout fait ».

La vérification est rapide : les serveurs de noms effectifs du domaine se lisent dans une requête NS. S'ils pointent vers Infomaniak, l'assistant fait autorité ; sinon, c'est dans l'interface qui gère réellement la zone qu'il faut publier SPF, DKIM et DMARC, en reprenant les valeurs fournies par Infomaniak.

La souveraineté suisse des données

L'argument de souveraineté d'Infomaniak mérite une nuance utile. La Suisse n'est pas dans l'Union européenne, mais elle bénéficie d'une décision d'adéquation qui reconnaît son niveau de protection des données comme équivalent — les flux de données personnelles UE→Suisse sont donc encadrés sans mécanisme supplémentaire. Pour une organisation soucieuse de garder son courrier hors des juridictions extra-européennes, un hébergeur suisse constitue une option cohérente, distincte à la fois d'un hébergeur intra-UE et d'un acteur soumis à des lois d'accès extraterritoriales.

Ce point ne change rien à la mécanique de SPF, DKIM ou DMARC — l'alignement se raisonne de la même façon partout — mais il pèse dans le choix d'un hébergeur, et il est cohérent avec le reste du positionnement d'Infomaniak. La localisation des données de courrier et des journaux associés fait partie des questions qu'une organisation régulée doit pouvoir trancher clairement — et un hébergeur qui y répond sans détour simplifie d'autant la préparation d'un audit.

Les erreurs de configuration courantes

Plusieurs pièges reviennent dans le corpus de rapports que l'analyseur DMARC gratuit traite au quotidien.

Faire une confiance aveugle à l'assistant sans vérifier. L'assistant pose de bons enregistrements, mais un service tiers ajouté ensuite, ou une zone déléguée, échappe à sa vue : les rapports restent le juge de paix.

Zone déléguée : oublier de reporter les valeurs. DKIM « configuré » côté Infomaniak mais jamais publié dans la zone effective : aucune signature valide.

Publier deux enregistrements SPF. L'ajout d'un ESP en second v=spf1 au lieu d'un include fusionné invalide SPF entièrement.

Croire DMARC « terminé » parce que l'assistant a tourné. L'assistant pose l'enregistrement en p=none : le domaine est observé, pas encore protégé. La protection ne vient qu'avec le durcissement, décidé après lecture des rapports — étape que l'assistant, prudemment, ne franchit pas seul.

Durcir la politique trop tôt. À l'inverse, passer à p=reject avant d'avoir confirmé par les rapports que tout le trafic légitime s'aligne revient à rejeter ses propres messages.

La contre-épreuve : les rapports RUA

La seule preuve qu'une configuration tient n'est pas l'interface Infomaniak, mais ce que rapportent les destinataires. Une fois l'enregistrement _dmarc publié avec une adresse rua= — ce que l'assistant propose souvent d'emblée —, les rapports agrégés arrivent sous quelques jours et détaillent, source par source, ce qui s'aligne et ce qui échoue. La lecture des rapports DMARC agrégés confirme que le trafic Infomaniak est bien rattaché au domaine, et surtout révèle toute source autre qu'Infomaniak — un ESP, une application — que l'assistant n'a pas couverte.

Une cadence simple suffit : une première lecture quelques jours après la configuration, une fois que plusieurs destinataires ont rapporté, puis un coup d'œil hebdomadaire tant que la politique reste en p=none. C'est la confirmation que toutes les sources légitimes s'alignent — Infomaniak et les autres — qui autorise à durcir. Une fois cette couverture confirmée sur plusieurs jours, la montée vers p=reject se fait sans risque. L'analyseur en ligne recompose cet état à partir des enregistrements publiés et des rapports reçus, et situe le domaine sur le chemin qui mène à p=reject.