Assurer la délivrabilité d'une plateforme d' ing. Neolane v6.0

Transcription

1 Assurer la délivrabilité d'ue plateforme d' ig Neolae v6.0

2

3 Ce documet, aisi que le logiciel qu'il décrit, est fouri das le cadre d'u accord de licece et e peut être utilisé ou copié que das les coditios prévues par cet accord. Cette publicatio e peut être reproduite ou trasmise, itégralemet ou partiellemet, sous quelque forme et par quelque moye que ce soit, sauf autorisatio écrite préalable de Neolae. Ce documet est sujet à révisios. Neolae e garatit pas l'exhaustivité des iformatios coteues das ce documet. Toute référece à des oms de sociétés das les illustratios fouries 'est utilisée qu'à titre d'exemple et e fait référece à aucue société réelle. Toutes les marques citées sot la propriété de leurs déteteurs respectifs. Microsoft et Widows sot des marques ou des marques déposées apparteat à Microsoft Corporatio aux Etats-Uis et/ou das d'autres pays. Java, MySQL et Ope Office sot des marques commerciales ou des marques déposées apparteat à Oracle Corporatio aux Etats-Uis et das d'autres pays. Liux est la marque déposée de Lius Torvalds aux Etats-Uis et das d'autres pays. Ce produit iclut des logiciels développés par Apache Software Foudatio ( Sauf metio cotraire, les déomiatios sociales, les logos, les produits et marques cités das ce documet, sot la propriété de Neolae S.A. ou de ses filiales. Ils e peuvet être utilisés sas l'autorisatio préalable et écrite de Neolae. Numéro de versio : 6845 Neolae 18 rue Roger Simo Barboux, Arcueil - Frace

4 Table des matières Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig Chapitre 1. Itroductio à la délivrabilité Avat-propos Recommadatios Gestio de la délivrabilité das Neolae Chapitre 2. Recommadatios foctioelles Lie et formulaire de désiscriptio Adresse d'expéditeur Doublos Démarrage d'ue ouvelle plate-forme Listes blaches Listes blaches o commerciales Listes blaches commerciales Chapitre 3. Recommadatios techiques Reverse DNS SPF Cofiguratio de l'applicatio Cofiguratio DNS Feedback loop List Usubscribe Présetatio Istallatio Precedece tag Présetatio Istallatio DomaiKeys Itroductio Pricipe de foctioemet Istallatio DKIM Vérificatio des messages d'erreur SMTP Règles MX Vérificatio des mails rebods Jachère d'ip Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig 3

5 Neolae Hébergemet extere Choix des domaies Délégatio de domaie Choix de l'adresse d'expéditeur et de l'adresse de mails rebods Autres alias Chapitre 4. Spécificités par domaie Objet AOL Feedback loop Whitelistage Report Card MSN Hotmail SederID Feedback loop Yahoo Feedback loop Whitelistage DomaiKeys Gmail Mail.ru, ibox.ru Web.de Comcast Outblaze Usa.et Excite Mailtrust Uited Olie (NetZero, Juo) RoadRuer EarthLik Cox Bluetie Chapitre 5. Bases de blacklistage Objet Spamcop Spamhaus RFC Igorat SORBS No-more-fu URIBL ix Maitu Chapitre 6. Le module de délivrabilité Objet Moitorig techique Ibox moitorig Ibox rederig Chapitre 7. SpamAssassi Présetatio Istallatio Neolae 2013

6 CHAPITRE 1 Itroductio à la délivrabilité Table des matières Avat-propos Recommadatios Gestio de la délivrabilité das Neolae Avat-propos Les problèmes de délivrabilité recotrés das l'evoi d' s e masse sot gééralemet liés à des mesures de protectio cotre le spam mises e place par les fourisseurs d'accès à iteret et les admiistrateurs de serveurs de mail. Ces problèmes vot des problèmes d'evois, (comme le blacklistage d'ue adresse IP, pouvat provoquer u raletissemet gééral du débit de diffusio), aux problèmes de réceptio, (comme par exemple la qualificatio des messages evoyés e spam). Recommadatios Les evois d' s o sollicités ot des caractéristiques qu'il faut éviter le plus possible : Ue cofiguratio réseau icorrecte : les spammeurs cherchet à cacher leur véritable idetité et par coséquet redet leurs serveurs d'evoi difficilemet idetifiables. Ue cofiguratio réseau correcte, qui e cherche pas à cacher d'iformatio, est u préalable à tout evoi e masse. Evoi à des adresses ivalides : les spammeurs utiliset parfois des géérateurs d'adresses basés sur des listes de préoms et de oms fréquets ; d'autre part, ils traitet raremet les otificatios techiques revoyées par les serveurs de messagerie. U taux d'adresses ivalides élevé das ue diffusio est souvet iterprété comme la marque d'u spammeur. Ue iscriptio par double opt-i et ue gestio rigoureuse des rebods techiques permet d'éviter cela. Taux de plaites élevés : les FAI ot systématisé la mise à dispositio d'ue foctio "Ceci est u spam" pour permettre aux utilisateurs de rapporter les s o sollicités et e déduire les evoyeurs. Ue gestio hoête des demades, ue diffusio régulière sur sa liste, la vérificatio des iscriptios par double opt-i, la facilité de désiscriptio et so temps de prise e compte et surtout la mise e place de boucles de rétro-actio ou "feedback loop" permettet de dimiuer les taux de plaites. Evoi à des adresses pièges : les FAI et d'autres orgaisatios (voir le site créet des boîtes mails e correspodat à aucue persoe physique das le but de piéger les spammeurs. Ces adresses piège ou "hoey pots" sot publiées sur le web das le but qu'elles soiet trouvées par les robots collecteurs d'adresses des Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Itroductio à la délivrabilité 5

7 Neolae spammeurs et pour aisi e déduire les expéditeurs illégitimes. U mécaisme de double opt-i empêche totalemet l'ajout de ce gere d'adresses. Quad o utilise ue liste fourie par u tiers, il faut être sûr des méthodes employées par ce derier. Vocabulaire agressif et emploi isistat d'images : das ue moidre mesure, le coteu des messages peut ameer certais filtres à détecter u spam. L'emploi de certais mots, l'usage de poits d'exclamatio das le corps ou le sujet du message doit être mesuré. Ue parade temporaire des spammeurs a cosisté a remplacer le texte iterdit par des images dot le texte e peut pas être examié automatiquemet par les filtres ati-spam. E répose à cela, u message (au format HTML) coteat ue trop forte proportio d'images peut désormais être bloqué, de même qu'u message embarquat les images e pièces-joites. Gestio de la délivrabilité das Neolae Neolae propose des foctioalités de gestio des risques de o-délivrabilité des messages, et de gestio et suivi de la délivrabilité des messages depuis votre plateforme. Voir à ce sujet les sectios Le module de délivrabilité [page 33] et SpamAssassi [page 37]. 6 Neolae 2013

8 CHAPITRE 2 Recommadatios foctioelles Table des matières Lie et formulaire de désiscriptio Adresse d'expéditeur Doublos Démarrage d'ue ouvelle plate-forme Listes blaches Listes blaches o commerciales Listes blaches commerciales Lie et formulaire de désiscriptio Par défaut, ue règle de typologie vérifie au momet de l'aalyse qu'u lie de désiscriptio est bie préset das le coteu d'ue diffusio et géère u avertissemet e cas d'absece. O peut évetuellemet modifier le iveau d'alerte de cette règle afi qu'elle géère ue erreur, de faço à ce qu'e aucu cas ue diffusio e puisse être démarrée sas ce lie. Il faut vérifier du début à la fi le bo foctioemet du lie de désiscriptio avat chaque evoi. Par exemple, lors de l'evoi du BAT, vérifiez que le lie est valide, que le formulaire est e lige et que sa validatio chage bie la valeur de Ne plus cotacter cette persoe à Oui. Cette vérificatio doit être systématique car o e peut pas exclure ue erreur humaie das la saisie du lie ou das la modificatio du formulaire. Au cas où u problème empêchat la désiscriptio e serait détecté qu'après le démarrage de la diffusio, il sera toutefois possible de désiscrire mauellemet (à l'aide d'ue mise à jour e masse, par exemple) les destiataires qui ot cliqué sur le lie de désiscriptio, même s'ils 'ot pas pu ou voulu cofirmer ce choix. Sauf das des cas bie particuliers, il e faut pas teter de freier la désiscriptio e demadat à l'utilisateur de remplir certais champs comme l' , le om, etc. Le formulaire e devra compredre qu'u seul bouto de validatio et la récociliatio e se fera que sur l'idetifiat crypté. Demader ue cofirmatio supplémetaire de l' 'est pas fiable : il se peut qu'ue même persoe possède deux adresses s redirigées vers la même boîte (par exemple preom.om@club.fr et preom.om@club-iteret.fr). Si cette persoe e se souviet que de la première adresse et qu'elle souhaite se désiscrire via u message evoyé à la secode, le formulaire refusera la modificatio car l'idetifiat crypté et l' saisi e correspodet pas. Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Recommadatios foctioelles 7

9 Neolae Adresse d'expéditeur Certais FAI vérifiet la validité de l'adresse d'expéditeur (From) avat d'accepter les messages. Ue adresse erroée peut causer u refus de la part du serveur receveur. Il faut s'assurer qu'ue adresse correcte est bie reseigée au iveau de l'istace (meu Outils>Avacé >Assistat de déploiemet...) ou das les scéarios les plus courammet utilisés. Doublos L'existece de doublos pour ue adresse peut avoir plusieurs coséqueces : Evois multiples du même message. Même si Neolae applique par défaut ue déduplicatio sur l'adresse avat chaque evoi, rie 'empêche d'evoyer plusieurs fois le même message par des actios différetes qui ot u même coteu lorsqu'o effectue u partage de cible. No respect de la désiscriptio. Si ue persoe se désiscrit suite à la réceptio d'u message, so profil e doublo sera quat à lui toujours éligible aux evois. Outre le o-respect de l'opt-i, cette situatio amèera probablemet les utilisateurs à cosidérer les messages comme du spam et déclecher ue actio de blacklistage de la part du FAI. Il faut être particulièremet prudet lors d'opératios sur la base : Les imports doivet être soigeusemet paramétrés, e particulier das le choix de la clé de récociliatio. Les modificatios d'adresses peuvet être source de doublos. E particulier, il peut arriver que deux adresses qui e diffèret que par le domaie soiet routées vers la même boîte mail, par exemple das le cas d'ue société qui chage de om et qui garde u certai temps le foctioemet des deux types d'adresse : marie.dupot@acieesociete.com et marie.dupot@ouvellesociete.com. Les imports automatiques, qu'ils soiet issus de fichiers ou d'autres bases de doées sot des élémets à predre e compte das les maipulatios de profils. Que se passe-t-il si o supprime ou o déplace u profil das ue autre partitio? Il risque d'être recréé das la partitio iitiale par u import automatique, par exemple suite au passage d'ue commade. Le ragemet des profils das des dossiers différets peut être mise e oeuvre à l'aide de vues plutôt que de partitios. Aisi o s'assure que les profils sot physiquemet das la même partitio tout e permettat u affichage et ue gestio des droits adéquats. Il existe tout de même des cas où la présece de doublos etre différetes partitios est ormale. Par exemple, lorsqu'o opère des evois pour le compte de sociétés ou d'etités différetes, il est logique qu'ue même persoe puisse être adressée à des titres différets. Il est cepedat raremet ormal de trouver des doublos das ue même partitio. Démarrage d'ue ouvelle plate-forme Démarrer l'evoi d' s sur ue ouvelle plate-forme est ue étape délicate car la plate-forme e possède aucu historique d'evoi, aucue réputatio (das le cas où les IP d'evoi 'ot jamais été utilisées à des fis d'evoi d' s). Or rie 'est plus suspect pour u FAI qu'ue adresse IP qui 'a jamais evoyé d' s et qui commece subitemet à evoyer des messages e masse. E effet, les spammeurs utiliset gééralemet des adresses IP "icoues" (c'est-à-dire qui 'ot jamais fait l'objet de blacklistage) pour evoyer u maximum de messages pedat le laps de temps où ils 'ot pas ecore été détectés. O e peut doc pas espérer atteidre le régime de croisière e termes de débit dès le début de la mise e productio. De surcroît o e doit pas essayer d'evoyer les premiers messages avec u tel débit, car cela coduirait les FAI à bloquer d'autat plus sévèremet les adresses IP d'evoi et à compromettre gravemet la poursuite du démarrage. Le démarrage d'ue plate-forme peut aller de pair avec le premier usage d'ue liste d'adresses, c'est-à-dire ue liste potetiellemet mal qualifiée. Or l'evoi à des adresses ivalides ou à des adresses pièges cotribue à abaisser la réputatio de la plate-forme. Si o dispose de la liste des adresses ivalides, o a tout itérêt à l'importer das la table des quarataies (Admiistratio/Gestio de campage/gestio des NP@I/NP@I et Adresses) avat de réaliser les premiers evois. Si o souhaite malgré tout requalifier les adresses ivalides, il est ettemet préférable de le faire ue fois la réputatio de la plate-forme établie et par petites parties afi de "diluer" das le temps l'usage des mauvaises adresses. Pour résumer les pricipes à respecter lors d'u démarrage : 8 Neolae 2013

10 Recommadatios foctioelles Si o dispose de l'iformatio, import des adresses ivalides das la table des quarataies, Limitatio du débit d'evoi (réglage techique : limitatio du ombre de mtachilds), Augmetatio progressive des volumes d'evoi : e pas cibler toute la base dès le début, mais à chaque evoi ajouter ue fractio de plus par rapport à l'evoi précédet ; cela permet d'augmeter le volume à chaque étape tout e dimiuat le taux d'adresses ivalides globalemet, Diffuser régulièremet : das ue certaie mesure il est préférable de réaliser de petits evois fréquets que des evois volumieux et sporadiques, Surveiller de près les rapports de diffusio : u idicateur d'erreur élevé peut sigifier qu'u paramétrage techique est mal cofiguré. Listes blaches Les pricipaux fourisseurs d'accès iteret (FAI) et gestioaires de Web mails gèret des listes blaches (whitelists) d'expéditeurs recous de messages s. Listes blaches o commerciales Pour être accepté sur ces listes blaches, l'expéditeur doit passer ue série de tests basés sur ue vérificatio techique de l'ifrastructure (so serveur d' e doit pas être u relais ouvert et avoir u IP statique) ou bie de so activité (fréquece d'evoi, volume, ombre de plaites). Si l'expéditeur déroge à l'ue de ces règles, il peut être supprimé de la liste blache. Das le cadre de so offre Neolae Deliverability, Neolae propose u service cosultig expert d'accompagemet das le processus de certificatio auprès des listes blaches o commerciales. Listes blaches commerciales Les listes blaches commerciales sot basées sur u système qui permet à u expéditeur de passer les filtres ati-spam ou d'avoir u bous e etrat das le système atispam. Ces listes blaches payates (CPM ou sur ue base auelle) sot proposées par des orgaismes tels que Retur Path Seder Score. Les FAIs sot libres d'utiliser ces services et le ombre de FAIs est variable selo la liste blache. U expéditeur peut alors être plus cofiat lors de l'evoi de ses messages e ayat ue garatie de livraiso. Certaies listes blaches offret égalemet l'ouverture des images et l'activatio des lies. Le fait de figurer sur ue liste blache est u atout idéiable das le cadre de toute campage . Das le cadre de so offre Neolae Deliverability, Neolae propose u service de certificatio de listes blaches commerciales telles que CSA et Retur Path Seder Score. Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Recommadatios foctioelles 9

11 Neolae 10 Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig

12 CHAPITRE 3 Recommadatios techiques Table des matières Reverse DNS SPF Cofiguratio de l'applicatio Cofiguratio DNS Feedback loop List Usubscribe Présetatio Istallatio Precedece tag Présetatio Istallatio DomaiKeys Itroductio Pricipe de foctioemet Istallatio DKIM Vérificatio des messages d'erreur SMTP Règles MX Vérificatio des mails rebods Jachère d'ip Hébergemet extere Choix des domaies Délégatio de domaie Choix de l'adresse d'expéditeur et de l'adresse de mails rebods Autres alias Reverse DNS U outil pour vérifier la cofiguratio d'u domaie : U poit idispesable de la cofiguratio réseau est d'avoir établi u reverse DNS correct pour chacue des adresses IP d'evoi. Cela sigifie que pour ue adresse IP doée, il existe u eregistremet reverse DNS (eregistremet PTR) dot la correspodace DNS (eregistremet A) reboucle sur l'adresse IP iitiale. Le choix du domaie pour u reverse DNS a u impact pour les relatios avec certais domaies. AOL, e particulier, 'accepte les feedback loop qu'avec ue adresse das le même domaie que celui du reverse DNS (voir Feedback loop [page 24]). Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Recommadatios techiques 11

13 Neolae SPF Cosulter le site Il propose u assistat de créatio d'eregistremets SPF. U outil pour vérifier la cofiguratio d'u eregistremet SPF : Le SPF (Seder Policy Framework) est ue techique qui permet, das ue certaie mesure, de s'assurer que le domaie de l'adresse d'expéditeur d'u 'est pas usurpé. Lorsqu'u e proveace présumée d'u domaie est reçu, ue demade est faite auprès d'u serveur DNS du domaie. La répose est u court eregistremet (appelé eregistremet SPF) qui idique quels sot les serveurs autorisés à evoyer des s pour le compte du domaie. Si o suppose que seul le propriétaire du om de domaie a les moyes de chager cet eregistremet, o peut cosidérer que cette techique e permet pas d'usurper ue adresse d'expéditeur, du mois das la partie à droite de "@". Das la spécificatio fiale de la RFC 4408 ( deux élémets du message servet à détermier le domaie cosidéré comme expéditeur : le domaie précisé par la commade SMTP "HELO" (ou "EHLO") et le domaie précisé par l'adresse de l'e-tête "Retur-Path" (dite "MAIL FROM") qui est aussi l'adresse de mails rebods. Différetes cosidératios permettet de e predre e compte qu'ue seule des deux valeurs ; ous recommados de s'assurer que les deux sources préciset bie u domaie idetique. La vérificatio SPF produit ue évaluatio de la validité du domaie expéditeur : Noe : aucue évaluatio 'a pu être faite Neutral : le domaie iterrogé e permet pas d'évaluatio Pass : le domaie est cosidéré comme authetique Fail : le domaie est certaiemet usurpé, le message devrait être rejeté SoftFail : le domaie est probablemet usurpé, mais le message e doit pas être rejeté pour autat TempError : ue erreur temporaire 'a pas permis de faire l'évaluatio. Le message peut être rejeté. PermError : les eregistremets SPF du domaie sot icorrects Il faut bie oter que les modificatios des eregistremets au iveau des serveurs DNS peuvet mettre jusqu'à 48 heures pour être prises e compte. Ce délai est foctio de la fréquece de rafraîchissemet des caches DNS des serveurs de réceptio. Cofiguratio de l'applicatio Pour défiir le domaie utilisé pour la commade HELO, il suffit d'éditer le fichier de cofiguratio de l'istace (cof/cofig-istace.xml) et de défiir u attribut "localdomai" comme suit : <servercof> <shared> <dscofig localdomai="modomaie.et"/> </shared> </servercof> Le domaie du MAIL FROM est le domaie de l'adresse de rebods techiques. Cette adresse est défiie das l'assistat de déploiemet ou via l'optio Nms _DefaultErrorAddr. Cofiguratio DNS U eregistremet SPF peut actuellemet être défii sur u serveur DNS comme u eregistremet de type TXT (code 16) ou u eregistremet de type SPF (code 99). U eregistremet SPF se présete comme ue chaîe de texte. Par exemple : v=spf1 ip4: /32 ip4: /32 ~all défiit les deux adresses IP et comme autorisées à evoyer des s pour le domaie. ~all idique que tout autre adresse doit être iterprétée comme u SoftFail. Recommadatios pour la défiitio de l'eregistremet SPF : Ajouter ~all (SoftFail) ou -all (Fail) à la fi pour iterdire tout autre serveur que ceux qui sot défiis. Sas cela, des serveurs peuvet probablemet usurper ue idetité du domaie (avec ue évaluatio Neutral). Ne pas ajouter ptr (décoseillé par opespf.org car coûteux et peu fiable). 12 Neolae 2013

14 Recommadatios techiques Feedback loop Le pricipe d'ue feedback loop est de déclarer chez le FAI ue adresse particulière pour ue plage d'adresses IP utilisées pour l'evoi de messages. Le FAI retourera sur cette boîte, de faço similaire à ce qui est fait pour les mails rebods, les messages evoyés aux utilisateurs qui ot cliqué sur "Ceci est u spam". La plate-forme devra être cofigurée pour bloquer tous les evois ultérieurs vers les utilisateurs qui se sot plaits. Il est importat de e défiitivemet plus cotacter ces persoes même si elles 'ot pas fait usage du lie de désiscriptio qui était prévu pour cela. C'est sur la base de ces plaites que le FAI va décider de blacklister ou o ue adresse IP. Suivat le FAI, le taux de plaite qui décleche le blacklistage d'ue adresse IP se situe aux eviros de 0,3%. U stadard est e cours d'établissemet pour défiir le format des mails de feedback loop, il s'agit de l'arf (Abuse Feedback Reportig Format). Cosulter le site pour plus de détails à ce sujet. La mise e place d'ue feedback loop pour ue istace suppose d'avoir : Ue boîte mail dédiée à l'istace, qui peut évetuellemet être la boîte de mails rebods, Des adresses IP d'evoi dédiées à l'istace. La mise e oeuvre la plus simple d'ue feedback loop das Neolae repose sur la foctioalité des mails rebods. Il s'agit d'utiliser la boîte de feedback loop comme ue boîte de mails rebods et établir ue règle de rebod qui détecte ces messages. Les adresses s des plaigats serot alors ajoutées à la liste des quarataies. Créer ou adapter ue règle de mails rebods Feedback_loop das Admiistratio>Gestio de campage>gestio des NP@I>Jeux de règles mail avec la raiso Refusé et le type Hard. Si ue boîte a été défiie spécialemet pour la feedback loop, défiir les paramètres pour relever so coteu e créat u ouveau compte extere de type Mails rebods das Admiistratio>Plate-forme>Comptes exteres. Le mécaisme est immédiatemet opératioel pour traiter les otificatios de plaites. Pour vérifier le bo foctioemet de la règle, o peut temporairemet désactiver les comptes afi qu'ils e relèvet pas ces messages et puis vérifier le coteu de la boîte de feedback loop mauellemet. Sur le serveur, exécuter les commades suivates : lserver stop imail@istace lserver imail -istace:istace -verbose Si o est cotrait d'utiliser ue seule adresse de feedback loop pour plusieurs istaces, il faudra : Répliquer les messages reçus sur autat de boîtes qu'il existe d'istaces, Faire relever chaque boîte par ue seule istace, Cofigurer les istaces pour qu'elles e traitet que les messages qui leur sot destiés : l'iformatio d'istace est présete das l'e-tête Message-ID des messages evoyés par Neolae et se retrouve doc das les messages de feedback loop. Il suffit de préciser le paramètre checkistacename das le fichier de cofiguratio de l'istace (par défaut l'istace 'est pas vérifiée et cela pourrait ameer à qualifier abusivemet e quarataie certaies adresses) : <servercof> <imail checkistacename="true"/> </servercof> List Usubscribe Présetatio Cette techique cosiste à ajouter u e-tête à vos s e utilisat le format suivat : List-Usubscribe :< Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Recommadatios techiques 13

15 Neolae MSN Live et Gmail supportat cette méthode afficherot u lie de désiscriptio directemet das leur iterface. Cette techique favorise la dimiutio du taux de plaites. Istallatio Neolae vous permet d'ajouter des etêtes SMTP supplémetaires depuis l'assistat de diffusio, il coviet doc de spécifier l'u des paramètres list-usubscribe suivats : 1 List-Usubscribe: <mailto:usubscribe@domai.com> U clic sur le lie usubscribe ouvre le cliet messagerie par défaut de l'utilisateur. 2 List-Usubscribe: < U clic sur le lie usubscribe redirige l'utilisateur vers votre formulaire de désiscriptio. Exemple : 14 Neolae 2013

16 Recommadatios techiques Precedece tag Présetatio Certais FAIs demadet aux expéditeurs de masse d'ajouter das leurs etêtes ue balise permettat de les idetifier. U exemple cocret avec Gmail avec lequel cette balise est u pré-requis. Istallatio Neolae permet d'ajouter des etêtes SMTP supplémetaires depuis les Propriétés de la diffusio, comme pour la balise 'list usubscribe'. Ce type d'ajout SMTP peut égalemet 'être réalisé que pour certais domaies. Par exemple, pour iclure cet etête SMTP uiquemet pour Gmail, la foctio est la suivate : <% if (recipiet.domai == 'gmail.com') { %> Precedece: bulk <% } %> DomaiKeys Cette techologie, pricipalemet promue par Yahoo, peut être mise e oeuvre das Neolae. Itroductio DomaiKeys est ue spécificatio reposat sur la techologie des clés publiques qui permet de siger umériquemet u afi de prouver la proveace du message. Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Recommadatios techiques 15

17 Neolae Note : Les domaies validat actuellemet DomaiKeys sot les suivats : Yahoo, Gmail. Pricipe de foctioemet Clé privée et clé publique Le propriétaire d'u domaie géère ue paire de clés (privée/publique) qui sera utilisée pour siger les messages evoyés par les utilisateurs de ce domaie. La clé publique est placée das le DNS du domaie sous la forme d'u eregistremet de type TXT. La clé privée est coservée sur le serveur de messagerie qui evoie les s pour ce domaie. Lorsqu'u est soumis par u utilisateur du domaie, le serveur de messagerie utilise la clé privée pour siger umériquemet le message. La sigature est alors ajoutée das les e-têtes du message puis celui-ci est evoyé. Lorsqu'u message est reçu avec ue sigature, le serveur de messagerie extrait la sigature et le domaie du message, puis iterroge le DNS du domaie afi d'obteir la clé publique du domaie. Avec cette clé publique, le serveur de messagerie vérifie esuite si la sigature du message est valide. Sélecteurs (Selectors) Les sélecteurs permettet à u domaie de disposer de plusieurs clés publiques das leur DNS. L'admiistrateur peut alors admiistrer ses clés publiques et évetuellemet utiliser des clés différetes suivat le type de trafic. Si le selecteur est 'test' et le domaie est 'example.com', la clé publique sera accessible depuis l'eregistremet DNS test._domaikey.example.com de type TXT. Le om précédat _domaikey est le sélecteur. Neolae utilise default comme sélecteur par défaut. Istallatio Pré-requis Cette sectio décrit les paramétrages écessaires das Neolae pour l'activatio de la gestio des DomaiKeys. Vous devez avoir la possibilité de modifier les eregistremets DNS pour votre domaie. Géératio des clés Depuis ue ivite de commade, utiliser la sytaxe suivate : $ opessl gersa -out rsa.private 1024 Le résultat est u fichier rsa.private du type : -----BEGIN RSA PRIVATE KEY----- MIICXQIBAAKBgQCUBBPm/6CGCw3Imbgka0GWIp95KTlE645kZVLp3MWLMox4bQUu 2Jks9+3eg/qk5ITFmxH//LB6efRgroW005E7u18Z4FPWj0rKUuGYQTbMLq7+sB KmSZNiVFcuGCl3O8oA7EPPuf0oK9B84FAwp94cBw5qzSdkvd5bMMCwkfVQIDAQAB AoGAWgo8/SmFweTZhq0UGtwk18Oecr8/pL4tNP6Yy8csHeYge132K6ER5muhszs XQByUC7r/Tf/NxIW+fVQeta0lpRki+SBvQOJyzTfXYf1S9XyyIgbPmVz8sQK2Wr KdzUeM1ueSuL82dPJXvkXaXirpm0rSHSYu0D7878/CGzxaUCQQDFUAXsIq3u+iwl 27kkMPKqAb96fUxmF14huxmoB6oMbblFwAT94IxfoXOR5lwEoHZvklcfk0wiIyk vuv+fj1/akeawap1narz6wtychft+rumai5czyfc9bmacestkvmlb3411ooql5qp m2vaeuuw3i8gmji3uzdj18gtetv6s61kwjballzeku0ogx/3zybqzpqemt3kkts pklzrpnomldkgy0g1+snxjw7mxr//ujozjffet4kp+c+goje2+9/7ceekcqgrb ptz/hj2be3vwmkoeos86hgwzk2obsrhmqzdt5t2sfw4lpt3ddavtdjhsvfpira +zfmtsqpxz41fqzrd8cqqdccfvqumtmasfv5hgqjoplox8a6ivfnmsk7p0gpvt 2iwz49E+Os0q5AhghyOmxsmwLjUOmptLBrWMR/gt2w7Q -----END RSA PRIVATE KEY Neolae 2013

18 Recommadatios techiques Note : Neolae supporte des clés de 512, 768, 1024, 1536 et 2048 bits. A ce jour aucu usage 'impose ue logueur de clé miimale mais il est admis qu'ue clé de 512 bits est potetiellemet falsifiable. Le choix de la logueur de clé a u impact sur la vitesse d'evoi (das l'hypothèse où la capacité CPU est le seul facteur limitat) : 512 bits : - 19 % par rapport à u evoi sas sigature 768 bits : - 37 % 1024 bits : -60 % 1536 bits : -80 % 2048 bits : - 90 % Pour extraire la clé publique de la clé privée, utilisez la lige de commade suivate : $ opessl rsa -i rsa.private -out rsa.public -pubout -outform PEM Le résultat est u fichier rsa.public du type : -----BEGIN PUBLIC KEY----- MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCUBBPm/6CGCw3Imbgka0GWIp95 KTlE645kZVLp3MWLMox4bQUu2Jks9+3eg/qk5ITFmxH//LB6efRgroW005E7u18 Z4FPWj0rKUuGYQTbMLq7+sBKmSZNiVFcuGCl3O8oA7EPPuf0oK9B84FAwp94cBw 5qzSdkvd5bMMCwkfVQIDAQAB -----END PUBLIC KEY----- Sous Widows, vous pouvez télécharger la librairie OpeSSL depuis l'url suivate : Eregistremet de la clé publique das le DNS Créer u eregistremet DNS de type TXT pour selector._domaikey.example.com : Sytaxe pour BIND default._domaikey.example.com. IN TXT "k=rsa; t=y; p=migfma0gcsqgsib3dqebaquaa4gnadcbiqkbgqcubbpm /6CGCw3Imbgka0GWIp95KTlE645kZVLp3MWLMox4bQUu2Jks9+3eg /qk5itfmxh/ /LB6efRgroW005E7u18Z4FPWj0rKUuGYQTbMLq7 +sbkmsznivfcugcl3o8oa7eppuf0ok9b84fawp94cbw5qzsdkvd5bmmcwkfvqidaqab" Sytaxe pour DJBDNS (TINYDNS) 'default._domaikey. example.com:k=rsa;t=y; p=migfma0gcsqgsib3dqebaquaa4gnadcbiqkbgqcubbpm /6CGCw3Imbgka0GWIp95KTlE645kZVLp3MWLMox4bQUu2Jks9+3eg /qk5itfmxh/ /LB6efRgroW005E7u18Z4FPWj0rKUuGYQTbMLq7 +sbkmsznivfcugcl3o8oa7eppuf0ok9b84fawp94cbw5qzsdkvd5bmmcwkfvqidaqab;:86400 Les paramètres de l'eregistremet sot défiis avec la sytaxe paramètre=valeur. Les paramètres valides sot : g= permet de défiir l'applicabilité de la clé par rapport au om local de l'émetteur. g=* autorisera tous les expéditeurs du domaie example.com à utiliser la clé, g=expediteur; autorisera l'utilisatio de cette clé aux evois de expediteur@example.com. k = type de clé. Seule la valeur rsa est supportée. Ce paramètre est optioel. = ote à propos de la clé. Cette ote est destiée aux admiistrateurs et 'est pas utilisée par les processus de sigatures et de vérificatio. Ce paramètre est optioel. p = clé publique ecodée e Base64. Ue valeur vide sigifie que la clé a été révoquée. Ce paramètre est obligatoire. t = flags défiissats des attributs. U seul attribut est actuellemet défii par la spécificatio : t=y qui sigifie que le domaie utilise cette clé e phase de test. La clé publique ecodée e Base64 correspod au coteu du fichier rsa.public etre les liges BEGIN PUBLIC KEY----- et -----END PUBLIC KEY----- Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Recommadatios techiques 17

19 Neolae Vous devez aussi supprimer les espaces et les retours à la lige. Eregistremet de la clé privée das Neolae La clé privée est stockée sous la forme d'ue optio das la base Neolae. E tat qu'admiistrateur, coectez-vous à Neolae, puis créez ue optio : Nom itere : Type : Valeur : selector_rsa_private_key_domai Texte log La clé privée ecodée e Base64. Das le om itere de l'optio, la partie selector est optioelle. Le sélecteur par défaut das Neolae état default, les optios default_rsa_private_key_example.com et RSA_PRIVATE_KEY_example.com sot équivaletes. IMPORTANT : Pour la valeur domai, le poit est trasformé par Neolae e caractère uderscore "_". La clé privée reseigée das l'optio doit être exactemet le coteu du fichier rsa.private, y compris BEGIN PRIVATE KEY----- et -----END PRIVATE KEY Activatio de la gestio du DomaiKeys Pour activer la sigature des messages pour u domaie, allez das le dossier Admiistratio / Gestio de campages / Gestio des NP@I / Jeux de règles mail puis sélectioez Gestio des domaies das la liste. Si le domaie est déjà préset das la liste, cochez simplemet la case DomaiKeys, sio créer ue ouvelle règle pour ce domaie et cochez la case DomaiKeys. IMPORTANT : L'activatio du sederid sur le domaie forcera l'utilisatio du domaie techique pour la sigature du message. L'activatio de sederid couplé à l'activatio de DomaiKeys peut être pertiete das le cas où vous gérez plusieurs domaies d'expéditeur. Tester le paramétrage Le plus simple est de créer ue boîte de test sur yahoo.fr. Si le DomaiKeys est correctemet paramétré, vous devez avoir u message de Yahoo! sous l'adresse de l'expéditeur qui vous cofirme l'origie du message. Plus d'iformatios sot dispoibles das les e-têtes complets : 18 Neolae 2013

20 Recommadatios techiques DKIM DKIM est é de l'uio des pricipes d'authetificatio DomaiKeys, de Yahoo! et Idetified Iteret Mail, de Cisco et va permettre de vérifier l'autheticité du domaie expéditeur et garatir l'itégrité du message. DKIM est doc ue amélioratio de DomaiKeys et est voué, à terme, à le remplacer. Note : Foctioalité dispoible à partir du build Si vous avez déjà paramétré DomaiKeys pour votre istace Neolae, vous avez simplemet besoi de cocher dkim das les règles de gestio des domaies. Das le cas cotraire, vous devrez suivre les même étapes de cofiguratio (clé privée/publique) que pour DomaiKeys. Il est iutile d'activer DomaiKeys et DKIM pour u même domaie, DKIM état ue versio améliorée de DomaiKeys. Les domaies validat actuellemet DKIM sot les suivats : aol, gmail. Vérificatio des messages d'erreur SMTP Les erreurs SMTP qui e sot vérifiées par aucue règle sot recesées das le dossier Admiistratio/Gestio de campage/gestio des NP@I/Qualificatio des logs de diffusio. Ces messages d'erreurs sot par défaut iterprétés comme des erreurs soft iatteigable. Les erreurs les plus ombreuses doivet être idetifiées et ue règle leur correspodat doit être ajoutée das Admiistratio/Gestio de campage/gestio des NP@I/Jeux de règles mail si o souhaite qualifier correctemet les retours de serveurs SMTP. Sas cela, la plate-forme serait ameée à faire des essais d'evoi iutiles (cas d'utilisateurs icous) ou de mettre abusivemet e quarataie certais destiataires après le ombre d'essais prévus. Neolae, via sa plateforme Délivrabilité, récupère les ouvelles règles d'erreur SMTP géérées durat les evois d' s de la totalité des cliets. U cumul du ombre d'erreurs de ces ouvelles règles est effectué et permet à Neolae de qualifier cette ouvelle règles lorsque celle-ci a atteit ue taille critique de retour d'erreurs. Ces règles sot mises à jour quotidieemet via u workflow spécifique. Pour cela, ue ouverture de flux type https est écessaire. Autre poit importat : le cliet peut qualifier ue règle das so istace. Toutefois, si celle-ci est esuite qualifiée das l'istace de déliverabilité de Neolae, c'est la qualificatio de l'istace de délivrabilité qui sera prise e compte par défaut. Règles MX Les règles MX (Mail exchager) correspodet aux règles de gestio de commuicatio etre u serveur expéditeur et u serveur destiataire. Selo les capacités matérielles et la politique itere, u FAI acceptera u ombre prédéfii de coexios et de messages par heure. Ces variables peuvet être modifiées de maière automatique par le système du FAI e foctio de la réputatio de l'ip et du domaie de l';expéditeur. Neolae, via sa plateforme délivrabilité, gère plus de 150 règles spécifiques par FAI, avec, e complémet, ue règle géérique pour les autres domaies. Ces règles sot mises à jour via u workflow quotidie afi d'alimeter l'istace cliet de maière régulière. Note : Pour plus d'iformatios, cosultez le documet MX rules & Bouces. Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Recommadatios techiques 19

21 Neolae Vérificatio des mails rebods Comme pour les erreurs SMTP, les mails rebods o traités ou traités par des règles de type Igoré doivet être surveillés pour détermier si de ouvelles règles doivet être ajoutées. Pour cela, il est possible de spécifier ue adresse vers laquelle la plate-forme fera suivre ces messages. Jachère d'ip E particulier lors du démarrage d'ue ouvelle plate-forme, il est recommadé de mettre e place u mécaisme de jachère d'ip au iveau de ses équipemets réseau. Ce mécaisme cosiste à coserver e permaece u certai ombre d'ip d'evoi de secours au cas où des IP e service seraiet blacklistées chez u FAI. O peut remettre e service les IP retirées ue fois que le blocage est levé, soit gééralemet quelques heures, au pire quelques jours. Il faut toutefois veiller à ce que chaque IP soit utilisée suffisammet régulièremet (au mois 100 messages sur ue jourée par mois) pour qu'elle e perde pas sa réputatio et e soit pas retirée des feedback loops ou whitelistes. Lorsque la réputatio de la plate-forme est solidemet établie o peut evisager d'utiliser e permaece toutes les IP. Hébergemet extere Das le cotexte de l'evoi d' s, o parlera d'hébergemet extere lorsque la plate-forme Neolae est : Etièremet hébergée à l'extérieur (base de doées, serveurs de trackig et serveurs d'evoi), E mode mid-sourcig : la base de doées et le serveur applicatif sot situés das le réseau itere tadis que la partie routage est exteralisée. Choix des domaies L'hébergemet extere, pour des raisos techiques, implique quasi-systématiquemet que le domaie utilisé das les adresses techiques d'evoi et les lies trackés soit différet du domaie pricipal de l'expéditeur. Par exemple : L'aoceur utilise le domaie domaie.com das toute ses commuicatios. L'hébergeur e peut pas techiquemet utiliser ce domaie pour recevoir les mails rebods car domaie.com est le domaie de la messagerie d'etreprise et cette derière 'est pas prévue pour cela. L'hébergeur e peut pas techiquemet utiliser directemet domaie.com pour le trackig car il est utilisé par le site web de l'aoceur. L'hébergeur doit doc utiliser u domaie différet, qu'o appellera domaie techique, par exemple dml.et. Ce domaie sera utilisé pour recevoir les mails rebods et rediriger les clics sur les lies trackés. Ceci état, o otera deux poits : 1 L'adresse d'expéditeur (From), qui est l'adresse courammet affichée, pourra toujours être rédigée das le domaie de l'aoceur domaie.com 2 Les lies trackés das le coteu des messages serot das le domaie techique dml.et A l'heure actuelle, e toute rigueur, ce foctioemet est permis mais : Si o se réfère au foctioemet de la messagerie Hotmail, l'applicatio de la orme SederId aura pour effet d'afficher u expéditeur de la forme De : dm-bouces@dml.et au om de Domaie Marketig (marketig@domaie.com), ce qui peut troubler le destiataire quat à l'origie du message. Si le message est supposé être expédié par u aoceur recou par le domaie domaie.com, alors u coteat des lies utilisat le domaie dml.et peut légitimemet être cosidéré comme ue tetative de phishig. A l'extrême, certais filtres ati-spam peuvet rejeter le message par soupço sur la différece de domaie etre l'adresse de mails rebods et l'adresse d'expéditeur. Il est doc de plus e plus importat que le domaie d'evoi techique e laisse pas de doute quat à l'autheticité de l'expéditeur. A cette fi, il est recommadé d'utiliser u domaie d'evoi techique qui est u sous-domaie du domaie de l'aoceur. Das l'exemple précédet, o pourrait utiliser l.domaie.com, 20 Neolae 2013

22 Recommadatios techiques aisi u destiataire 'aura pas de doute sur le fait que l'expéditeur techique du message et les lies trackés du coteu émaet bie de domaie.com. L'adresse de mails rebods e l.domaie.com pourra être gérée directemet par l'hébergeur et les lies de trackig e l.domaie.com pourrot désiger ses serveurs de redirectio. Délégatio de domaie La mise e oeuvre d'u sous-domaie pour u hébergeur devra être iitiée par le propriétaire du domaie (l'aoceur). Si das l'absolu le propriétaire peut réaliser lui-même le paramétrage DNS (MX, A, SPF...) du sous-domaie, cela 'est pas recommadé car l'hébergeur est dépedat de lui pour toute modificatio DNS et cela costitue ue situatio potetiellemet périlleuse (risque de perte des mails rebods, voire pae de trackig) compte teu des cotraites d'exploitatio d'ue plate-forme d' ig. Neolae recommade doc vivemet la mise e oeuvre d'ue délégatio du sous-domaie à l'hébergeur. Pour déléguer la gestio d'u sous-domaie à u tiers, le propriétaire du domaie pricipal doit déclarer pour le sous-domaie des eregistremets NS désigat les serveurs DNS de l'hébergeur. Note : Pour plus d'iformatios sur la délégatio de domaie, cosulter le documet Délégatio de domaies. Choix de l'adresse d'expéditeur et de l'adresse de mails rebods L'adresse d'expéditeur état l'adresse la plus visible du destiataire, elle doit e préseter aucu doute sur so idetité, elle devrait doc être défiie sur le domaie de l'aoceur, ou à défaut sur u sous-domaie, par exemple marketig@domaie.com ou marketig@l.domaie.com. Das le cas où l'eregistremet SPF du domaie de l'aoceur autorise les IP d'evoi de la plate-forme, il e sera pas écessaire d'activer le paramètre Seder ID das Neolae pour les domaies MSN Hotmail et le choix de l'adresse de mails rebods a peu de cotraites. Das le cas où l'eregistremet SPF du domaie de l'aoceur 'autorise pas les IP d'evoi de la plate-forme, il sera écessaire d'activer le paramètre Seder ID pour les domaies MSN Hotmail. Das ce cas, l'adresse de mails rebods sera présetée au destiataire das l'e-tête du message. Il coviedra doc de choisir ue adresse qui 'évoque pas u spam, c'est-à-dire ue adresse e relatio avec l'expéditeur et qui e paraît pas trop techique, par exemple marketigerr@dml.et plutôt que dm-bouces405@dml.et. Autres alias Neolae permet de défiir des alias différets pour le trackig, les pages miroir et les formulaires web et aisi défiir ue architecture adaptée aux besois de dispoibilité de ces différets services et aux cotraites d'exploitatio. Pour coserver la cohérece de domaies, o pourra par exemple défiir des sous-domaies supplémetaires pour établir u paramétrage sur le modèle suivat : Trackig : l.domaie.com Pages miroir : m.l.domaie.com Formulaires web : f.l.domaie.com Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Recommadatios techiques 21

23 Neolae 22 Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig

24 CHAPITRE 4 Spécificités par domaie Table des matières Objet AOL Feedback loop Whitelistage Report Card MSN Hotmail SederID Feedback loop Yahoo Feedback loop Whitelistage DomaiKeys Gmail Mail.ru, ibox.ru Web.de Comcast Outblaze Usa.et Excite Mailtrust Uited Olie (NetZero, Juo) RoadRuer EarthLik Cox Bluetie Objet Cette sectio décrit les mécaismes particuliers à certais FAI, parmi les plus représetatifs das u cadre B2C. La lecture des e-têtes des messages reçus chez les fourisseurs est souvet ue boe source d'idicatios quat à la cosidératio des messages evoyés vis-à-vis du spam. Les cliets mails ou les webmails proposet gééralemet ue foctioalité permettat d'afficher la totalité des e-têtes (habituellemet seuls l'expéditeur, la date, le sujet et les destiataires apparaisset). Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Spécificités par domaie 23

25 Neolae AOL AOL met à dispositio des expéditeurs à forts volumes des services de feedback loop et de whitelistage. Le whitelistage permet aux messages e proveace de certaies adresses IP d'aboutir sas filtrage préalable. Il est idispesable de mettre e place ue feedback loop avat d'evisager ue demade de whitelistage car le whitelistage e sera accepté que si le taux de plaite sur les adresses IP d'evoi est correct, ce qui est peu probable lorsqu'ue feedback loop 'est pas e service pour des evois e masse. Il faut esuite attedre au mois trete jours d'activité régulière pour demader le whitelistage. Feedback loop Le formulaire suivat permet de demader la mise e place d'ue feedback loop : Suite à sa validatio, u avec u lie de cofirmatio est evoyé à l'adresse de feedback. Il faut s'assurer, avat de valider ce formulaire, que la boîte est bie e service et qu'o sera e mesure de relever so coteu. Après validatio du lie, la mise e service se fait gééralemet das les 24 heures qui suivet. La règle de mail rebod qui détecte les otificatios e proveace d'aol est déjà mise e oeuvre das Neolae Whitelistage Les demades de whitelistage se fot sur la page Suite à cette demade, AOL va surveiller les evois et les taux de plaites pedat trois semaies eviro. Après cette période, ue décisio sera prise et commuiquée à l'adresse de cotact précisée das le formulaire. IMPORTANT : Le formulaire de whitelistage va de pair avec ue demade de feedback loop. Si ue demade de whitelistage et de feedback loop sot faites à la fois, les mails de rétro-actio serot evoyés e double. Report Card Les jours où le taux de plaite dépasse le seuil de 0,1 %, AOL expédie automatiquemet à l'adresse postmaster du domaie d'evoi ue Report Card metioat la valeur du taux de plaite et l'exigece de la maiteir à u iveau bas. Ce sot des messages evoyés par postmaster@aol.com avec u sujet de la forme AOL cocers for domaie.com. Cet idicateur permet d'évaluer le bo foctioemet de la feedback loop et le respect de l'opt-i. MSN Hotmail Cosultez la page Le site propose u formulaire pour cotacter le service techique. Cosultez les taux de plaites de ses IP d'evoi sur la page : L'iscriptio à ce service permet de surveiller, au jour le jour et par adresse IP, les volumes d'evois, les taux de plaites et le ombre de messages arrivat sur des adresses pièges. Pour accéder à ce service, il faut être e mesure de recevoir les messages evoyés à ue des adresses suivates dot le om de domaie est déduit par reverse DNS et e iterrogeat la base RIPE à partir des adresses IP demadées : abuse@domaie postmaster@domaie U message avec des doées de cofirmatio sera evoyé sur ue de ces adresses, au choix. Si vous etrez e cotact avec le service de MSN Hotmail, vous appredrez que le blocage des spams est orgaisé e deux etités idépedates. Les s reçus sot traités das u premier temps par les services de Symatec (Symatec Brightmail, <ivestigatio@review.symatec.com> pour toute questio de blocage de leur fait) qui peuvet bloquer les messages sur la base des taux de plaite et du ombre de messages arrivés e adresses pièges. Das u deuxième temps, MSN Hotmail traite les messages qui 'ot pas été bloqués par les services de Symatec mais qui sot bloqués cepedat sas e coaître les raisos. 24 Neolae 2013

26 Spécificités par domaie SederID MSN Hotmail met e oeuvre ue techologie de vérificatio d'adresse d'expéditeur propre, ommée SederID. Il s'agit essetiellemet d'ue variate des recommadatios SPF. La cofiguratio DNS à prévoir pour la validatio du SederID va au-delà des exigeces défiies pour le SPF. E particulier, il coviedra de vérifier l'existece des trois eregistremets SPF, MX et A pour le domaie d'evoi. Le wizard Microsoft, dispoible à cette adresse : permet de vérifier la cofiguratio DNS d'u domaie et propose de l'aide pour défiir le coteu de so eregistremet SPF. Certais e-têtes sot itéressats de ce poit de vue : X-SID-PRA: Domaie Marketig <marketig@domaie.com> X-SID-Result: TempError From: Domaie Marketig <marketig@domaie.com> Retur-Path: dm-bouces@dml.et L'e-tête X-SID-PRA est l'adresse de prétedu expéditeur (pour plus d'iformatios sur le PRA reportez-vous à la page calculée à partir des autres liges d'e-tête comme état l'adresse la plus probablemet représetative de l'idetité de l'expéditeur. Ce sot les domaies de cette adresse et de l'adresse de Retur-Path qui servet de référece pour la vérificatio des eregistremets SPF. S'il existe des cotraites plus particulières sur les domaies utilisés, avec ue extesio propre à la techologie SederID, il est possible de cofigurer ses eregistremets SPF de telle sorte qu'ils e s'appliquet qu'au Retur-Path ou qu'au PRA. Note : Das le cas où l'adresse d'expéditeur (From) est différete du PRA, Microsoft recommade d'afficher explicitemet das le cliet les deux adresses, ce qui peut faire apparaître l'adresse de mails rebods au destiataire fial. Aisi, das le webmail Hotmail, o peut voir l'expéditeur affiché aisi : De : dm-bouces@dml.et au om de Domaie Marketig (marketig@domaie.com) Afi de s'assurer que l'adresse rebod 'apparait pas das l'e-tête du message, il coviet d'appliquer les recommadatios suivates : 1 Désactiver SederID das Neolae. 2 S'assurer de l'existece d'u record SPF valide pour chacu des domaies expéditeurs. 3 S'assurer de l'existece d'ue clé publique domaikey valide pour chacu des domaies expéditeurs. L'e-tête X-SID-Result doe l'évaluatio SederID du message au momet de sa réceptio. Les valeurs qui peuvet être prises sot les mêmes que celles défiies das le SPF. Si l'evoi et les eregistremets DNS sot corrects et que le résultat de l'évaluatio est TempError, il s'agit peut-être d'u problème de cache DNS obsolète. MSN Hotmail utilise u mécaisme de cache pour le foctioemet du SederID. Pour s'assurer que so eregistremet est pris e compte par le cache, il suffit de compléter le formulaire e lige à l'adresse suivate : Note : Lorsque sederid est coché das Neolae, u e-tête Seder reseigé avec l'adresse de mails rebods est ajouté aux messages. Aisi, la valeur du PRA correspodra à l'adresse de mails rebods. Feedback loop Vous trouverez ci-dessous la liste des élémets à fourir pour les sociétés/cliets itéressés par ce programme : 1 Le om de votre société et les om et adresse de messagerie de votre pricipal iterlocuteur 2 Votre société suit-elle les ormes de la loi CAN-SPAM? 3 Le lie d'aulatio de chaque liste de distributio. Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Spécificités par domaie 25

27 Neolae Veuillez iclure u lie foctioel que ous pourros utiliser pour u test poctuel. Si vous demadez à ce que les utilisateurs disposet d'u compte, veuillez fourir u compte auquel ous pourros accéder et que ous pourros fermer pour les besois du test. 4 Pour chaque liste, la page d'accueil où les persoes s'iscrivet. 5 Les adresses IP des expéditeurs pour vérificatio. 6 L'adresse IP est-elle eregistrée sous le om/om de domaie de votre société? Ou disposez-vous via votre hébergeur de droits d'evoi exclusifs depuis votre IP (sas partage avec d'autres expéditeurs)? Veuillez fourir la documetatio aexe. 7 Pouvez-vous supprimer de vos listes de distributio les destiataires mécotets? Si vous avez répodu "o" aux questios 6 et 7, Microsoft e sera pas e mesure d'iscrire votre société au programme JMRP pour le momet. Il faut que les réposes aux questios 6 et 7 soiet positives pour que la mise e place de la feedback loop soit possible. Avec l'utilisatio de Neolae, la répose à la questio 7 est oui. Il est possible de demader la mise e service d'ue feedback loop e remplissat le formulaire à l'adresse suivate : Le service reverra u formulaire, dit Juk Reportig Agreemet, à compléter et siger umériquemet. E même temps, il faudra evoyer par des précisios techiques sur la feedback loop souhaitée (e aglais) : 1 Nom du cotact pricipal, 2 So adresse, 3 So uméro de téléphoe, 4 So adresse , 5 Les adresses IP d'evoi (séparées par des poits-virgules, 150 maximum), 6 L'adresse de la feedback loop, 7 Le ombre maximum d' s à evoyer par jour sur la feedback loop (évetuellemet pas de limite), 8 Le format des messages : attachés selo la RFC 822 ou les messages origiaux. Pour la questio 8, il faut choisir le format RFC 822. La règle de mail rebod qui détecte les otificatios e proveace de Hotmail est déjà mise e oeuvre das Neolae. Yahoo Cosultez la page Deux iformatios das les e-têtes permettet de détermier la qualificatio de sa plate-forme d'evoi : X-YahooFilteredBulk: Autheticatio-Results: mta244.mail.mud.yahoo.com from=domai.com; domaikeys=eutral (o sig) La présece de l'e-tête X-YahooFilteredBulk idique que le message est arrivé das le dossier spam de l'utilisateur. L'e-tête Autheticatio-Results doe l'évaluatio de l'autheticité de l'expéditeur par la techologie Domai Keys. Das l'exemple, domaikeys=eutral (o sig) idique que la plate-forme d'evoi e met pas e oeuvre cette techologie. Feedback loop Le formulaire suivat permet de demader la mise e place d'ue feedback loop : 26 Neolae 2013

28 Spécificités par domaie Note : 1 Le système de feedback loop (FBL) Yahoo est basé sur le domaie, cotrairemet aux autres FBL qui sot basés sur l'ip. 2 Pour pouvoir mettre e place la feedback loop, vous devez : posséder u compte Yahoo FBL, utiliser le stadard d'authetificatio DomaiKeys ou DKIM. Whitelistage Sas demade préalable, Yahoo classera les messages evoyés d'ue adresse IP icoue comme spam et les utilisateurs recevrot le message das le dossier correspodat de leur webmail. Ue demade de whitelistage peut être faite par le formulaire IMPORTANT : Lorsqu'o soumet ue demade de whitelistage à Yahoo, il est très importat de bie compredre et de suivre rigoureusemet les questios posées et de répodre à toutes. Faute de quoi Yahoo rejettera probablemet la demade e recommadat de revoir ses pratiques et d'attedre 6 mois pour reouveler. Yahoo etrepredra alors de surveiller les evois effectués pedat ue période (gééralemet ue vigtaie de jours). Durat cette période, la réceptio des s pourra se faire alterativemet das le dossier pricipal ou le dossier spam. Yahoo tirera ses coclusios suite à cette observatio et pourra décider de whitelister la plate-forme. DomaiKeys Lorsque le domaie validé par DomaiKeys est idetique au domaie d'expéditeur, Yahoo affiche ue clé idiquat à l'utilisateur que l'expéditeur est légitime et a été vérifié par DomaiKeys. Gmail Gmail utilise le SPF et DKIM. L'utilisatio d'u compte Gmail est aussi u bo moye de vérifier la boe cofiguratio de so SPF. Si le SPF est bie cofiguré, o devrait trouver das les messages reçus ue lige d'e-tête de la forme suivate : Received-SPF: pass (gmail.com: domai of istace-bouces@modomaie.et desigates as permitted seder) Received-SPF: pass (gmail.com: best guess record for domai of postmaster@modomaie.fr desigates as permitted seder) Lorsque le SPF 'est pas défii pour u domaie, cette lige aura la forme suivate : Received-SPF: eutral (gmail.com: is either permitted or deied by domai of bouces@l.mydomai.et) Efi, lorsque l'adresse d'expéditeur est usurpée, l'e-tête cotiedra la lige suivate : Received-SPF: softfail (gmail.com: domai of trasitioig usurpe@spammeur.et does ot desigate as permitted seder) Gmail vérifie aussi les sigatures DomaiKeys. Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Spécificités par domaie 27

29 Neolae Mail.ru, ibox.ru Cosultez la page Web.de Vous pouvez cotacter le support techique via les formulaires e lige dispoibles à cette adresse : Comcast Le formulaire suivat permet de demader la mise e place d'ue feedback loop : Outblaze Ecrivez à l'adresse suivate pour demader l'activatio d'ue feedback loop : postmaster@outblaze.com. Les iformatios suivates devrot être trasmises : La liste des ip/rage cocerées. Le domaie d'evoi utilisé. Le cotact pricipal (om, préom, , téléphoe). Le compte de feedback loop. Usa.et Le formulaire suivat permet de demader la mise e place d'ue feedback loop : Excite Le formulaire suivat permet de demader la mise e place d'ue feedback loop : Mailtrust Le formulaire suivat permet de demader la mise e place d'ue feedback loop : Uited Olie (NetZero, Juo) Le formulaire suivat permet de demader la mise e place d'ue feedback loop : Les demades de whitelistage se fot sur la page suivate : IMPORTANT : Le formulaire de whitelistage va de pair avec ue demade de feedback loop. 28 Neolae 2013

30 Spécificités par domaie RoadRuer Le formulaire suivat permet de demader la mise e place d'ue feedback loop : EarthLik Ecrivez à l'adresse suivate pour demader l'activatio d'ue feedback loop : fblrequest@abuse.earthlik.et. Les iformatios suivates devrot être trasmises : La liste des ip/rage cocerées. Le domaie d'evoi utilisé. Le cotact pricipal (om, préom, , téléphoe). Le compte de feedback loop. Cox Le formulaire suivat permet de demader la mise e place d'ue feedback loop : Bluetie Le formulaire suivat permet de demader la mise e place d'ue feedback loop : Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Spécificités par domaie 29

31 Neolae 30 Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig

32 CHAPITRE 5 Bases de blacklistage Table des matières Objet Spamcop Spamhaus RFC Igorat SORBS No-more-fu URIBL ix Maitu Objet Plusieurs orgaisatios receset les adresses IP et les domaies réputés pour être des spammeurs. La cosultatio de ces sites peut aider à compredre la raiso de certais rejets de messages comme spam. Il est gééralemet possible de demader le retrait d'ue adresse ijustemet recesée das ces listes. Ces bases sot appelées RBL (Real-time Blackhole List) et leur cosultatio repose sur le mécaisme du DNS. O distigue trois types de RBL : Par adresse IP : recese les adresses IP émettrices de spam ou susceptibles de relayer du spam. Par domaie d'evoi : recese les domaies d'evoi (domaie complet de l'adresse de mails rebods) émetteurs de spam ou présetat u défaut de cofiguratio Par domaie web : recese les domaies (domaies de haut iveau tels qu'eregistrés auprès des registrars) trouvés das les URL des lies et des images des spams. Das Neolae, le domaie à cosidérer est gééralemet le domaie utilisé pour le trackig. Ci-dessous la liste des RBL les plus utilisées. Pour ue liste plus large, o peut cosulter les pages ou (partie "IP Tools", formulaire "Spam Database Lookup"). Spamcop Cosulter la page Ue des bases les plus coues. Etre répertorié sur cette liste est gééralemet ue situatio grave. Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Bases de blacklistage 31

33 Neolae Spamhaus Cosulter la page Ue des bases les plus coues. Etre répertorié sur cette liste est gééralemet ue situatio grave. RFC Igorat Spécialisé das le respect des recommadatios techiques RFC, ce site e mesure pas la réputatio des evois mais la coformité techique d'u domaie. SORBS Le site recese des adresses IP réputées être des adresses dyamiques (c'est-à-dire attribuées temporairemet à des aboés de FAI) ou des adresses "d'ope relay". Certais domaies vérifiet que l'adresse IP d'u expéditeur 'est pas listée sur ce site avat d'accepter l' . Ue vérificatio de ses adresses IP auprès de ce site peut se révéler utile. No-more-fu Cosulter la page Recese les IP attribuées dyamiquemet par les FAI grad public à des particuliers. Il est fréquet qu'ue IP ouvellemet utilisée soit listée ici. La demade de délistage est simple et rapide. URIBL Cosulter la page Cette liste recese les domaies trouvés das les URL de spams. O testera doc le domaie des lies de trackig sur cette base. ix Maitu Cette liste recese des IP et est très utilisée e Allemage, voir la page 32 Neolae 2013

34 CHAPITRE 6 Le module de délivrabilité Table des matières Objet Moitorig techique Ibox moitorig Ibox rederig Objet Neolae propose des outils de suivi de la délivrabilité de votre plateforme. Ces foctioalités sot proposées das ue optio dédiée : le module de Délivrabilité. Lorsque ce module est paramétré sur votre plateforme Neolae, vous accédez aux iformatios suivates : Rapport techique de suivi, au jour le jour, des performaces de délivrabilité (moitorig techique), Suivi du redu des messages chez les différets fourisseurs d'accès (ibox rederig), Vue d'esemble de la qualité des messages (boîte de réceptio, spam). Moitorig techique Le rapport de moitorig techique est accessible à partir du meu Diffusios>Délivrabilité>Moitorig techique de la page d'accueil Neolae. Il présete les différets idicateurs de qualité de la délivrabilité de votre plateforme (les idicateurs sot actualisés ue fois par jour à 9h). Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Le module de délivrabilité 33

35 Neolae E complémet, vous avez la possibilité de recevoir u rapport quotidie par à l'adresse souhaitée. Pour cela, ous vous ivitos à ous commuiquer cette adresse par mail. Quelques termes techiques : IP et domaie RBL (Realtime Blackhole List) : Liste d'adresses IP ou de domaies polluats. Ces listes sot erichies par des orgaismes dédiés sur Iteret (par ex: SpamHaus, Spamcop...). Neolae gère actuellemet u traitemet de listes. Ces RBL sot les témois de votre réputatio et peuvet être iterrogés par les ISP avat acceptatio de vos s. SPF (Seder Policy Framework) : Mécaisme permettat de vérifier si l'émetteur d'u mail est bie autorisé sur le domaie d'evoi. SNDS (Smart Network Data Services) : u service Widows Live Hotmail de lutte cotre le spam. (Voir la page DomaiKeys : service développé par Yahoo visat à certifier l'idetité de l'émetteur d'u . Reverse DNS : Neolae vérifie qu'u reverse DNS est bie reseigé pour ue adresse IP et que celui-ci reboucle bie sur l'ip. SederScore : Base de doées de serveurs réputés (voi la page Ibox moitorig Ce rapport est accessible à l'aide des meus Diffusios>Délivrabilité>Ibox moitorig depuis la page d'accueil de Neolae. 34 Neolae 2013

36 Le module de délivrabilité Il propose ue vue d'esemble de la qualité des s evoyés sur ue période doée. Ue comparaiso est égalemet faite avec l'esemble des plateformes ayat souscrit le service délivrabilité. Ibox rederig Ce rapport est accessible pour chacue des diffusios, das l'oglet rederig. Note : Le ombre de redus autorisés est limité mesuellemet, coformémet à votre accord de licece. Le compteur est réiitialisé le 25 du mois. Neolae a mis e place u workflow dédié (Mise à jour du réseau de test pour l'ibox Rederig) permettat de récupérer les adresses cibles à utiliser das le cadre de vos BAT. Ce workflow est dispoible das le oeud Admiistratio>Exploitatio>Workflows techiques de l'arborescece Neolae. Ce workflow crée et met à jour la liste des adresses utilisées pour le réseau de test. Il se lace automatiquemet tous les jours à 5H00. Pour forcer ue exécutio immédiate et créer ces adresses, cliquez avec le bouto droit de la souris sur le plaificateur et choisissez Traitemet aticipé de la (des) tâche(s). Les cotacts sot isérés das le dossier ommé Destiataires pour l'ibox Rederig et affectés à u groupe Destiataires pour l'ibox Rederig qui permettra u ciblage rapide. Il vous suffit doc d'iclure ce groupe das vos actios de diffusio pour activer le processus de capture Neolae. Les vigettes de redu sot accessibles quelques miutes après l'evoi des messages, depuis l'oglet Ibox rederig de la diffusio. Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - Le module de délivrabilité 35

37 Neolae Note : Chaque evoi décrémete de u votre ombre de redus autorisés. Utilisez le bouto Mise à jour des redus pour actualiser la liste. Exemple de rapport de redu : Note : Si vous avez défii des droits d'accès particuliers e foctio de vos opérateurs, ils devrot au miimum avoir des droits e lecture sur la partitio «Ibox rederig recipiets» et au groupe associé. Ce mode de foctioemet implique ue utilisatio de la table msrecipiet, das le cas cotraire, il vous faudra iclure les adresses cibles das votre table de cotacts. Si des élémets de persoalisatio sot utilisés das vos commuicatios s, les profils «sources» doivet être reseigés e coséquece. 36 Neolae 2013

38 CHAPITRE 7 SpamAssassi Table des matières Présetatio Istallatio Présetatio Neolae peut être cofiguré pour foctioer avec SpamAssassi. Cela permet d'attribuer u score aux s afi de détermier si u message risque d'être cosidéré comme idésirable par les outils ati-spams utilisés à sa réceptio. Avat qu'ue diffusio e soit lacée, l'oglet Aperçu permet de visualiser les risques. U message d'alerte affiche le résultat de la vérificatio ati-spam, comme das l'exemple suivat : Neolae v6.0 - Assurer la délivrabilité d'ue plateforme d' ig - SpamAssassi 37