Différences

Ci-dessous, les différences entre deux révisions de la page.

--- garantir_la_reputation_d_un_serveur_de_mail [2023/11/09 15:11] – [Vérification] Flaz
+++ garantir_la_reputation_d_un_serveur_de_mail [2024/02/02 16:07] (Version actuelle) – [DKIM] Flaz
@@ Ligne 26: / Ligne 26: @@
 Sous Virtualmin, la configuration pour l'intégralité des domaines autorisés à gérer du mail se fait tout simplement en activant DKIM (Signing of outgoing mail enabled? yes) sur la page générale : //Email settings > DomainKeys Identified email//.
-Les clés sont automatiquement générées, les déclarations sont ajoutées au DNS et le serveur d'expédition est configuré pour signer les messages sortants.
+Par défaut, dans Virtualmin, le champ «Extra domains to sign for» contient le hostname du serveur : host.domain.tld, host.
-<note important>Sous Virtualmin, si la gestion du mail est activée pour un domaine mais que la zone est gérée par un autre serveur((Registrar ou autre.)), les enregistrements DNS devront être ajoutés manuellement dans les zones concernées((C'est pas parce qu'on utilise un outil d'administration qu'on ne doit pas savoir ce qu'on fait ;-) )), </note>
+En appliquant la configuration (//Save//), les clés sont automatiquement générées, les déclarations sont ajoutées au DNS et le serveur d'expédition est configuré pour signer les messages sortants.
+À tout moment, la liste des clés ajoutées est alors consultable dans Email Settings > DomainKeys Identified Mail > Domains currently signed.
+On remarque que le hostname y figure. Si le hostname n'est pas géré par la machine hôtesse, ce hostname n'est pas porteur d'un lien. C'est normal car la fonctionnalité de gestion du mail host.domain.tld n'est pas activée dans Virtualmin et **ne doit pas l'être** !
+<note important>Sous Virtualmin, si la gestion du mail est activée pour un domaine mais que la zone est gérée par un autre serveur((Registrar ou autre.)), les enregistrements DNS devront être ajoutés manuellement dans les zones concernées((Ce n'est pas parce qu'on utilise un outil d'administration qu'on ne doit pas savoir ce qu'on fait ;-) )).</note>
+== Cas particulier du hostname ==
+Par défaut, postfix/virtualmin gère le mail de la machine hôtesse répondant au nom de //host.domain.tld//. Si Virtualmin ne gère pas le DNS pour ce nom de domaine, la clé publique DKIM doit être déclarée manuellement dans la zone où le //hostname// est défini, c'est-à-dire sur le serveur gérant cette zone((Registrar ou autre.)). Par exemple :
+<code>202310._domainkey.host.domain.tld. 10800 IN TXT "v=DKIM1; k=rsa; t=s; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAz5mhQcqD/SqyCz2FKjHCY/6CnqQe9q3BvHRScIW0XFq5DmvwGlMZ2zUUGbiINusInqdmdwg3mltDeynsaJ5" "kNZZm6HytM9KgE81YrJfcBV/BUZ0Cs7oizAwGKdsiCJ0DRiDXOKmUeOIOiSSQXoNh6wftOP1pnuLZgMQKechp9UQr654zMkHpOOxO6Byvysciv/Rz5tY5FcKGGVuy8wWDUnFeV57nrMwHyVp6GD6XJ" "7QtfcdCmdOsNI2f7Tzv8sD1ssIw4f/X/+/xCH5+Orrzwxui41jFze87lp1JD70hX8LpJWegp74rDfS08A8Or8n1ImuXesKgmWn0rgbeQG9GRwIDAQAB"</code>
+=== Domaines complémentaires ===
+Si l'on souhaite bénéficier de DKIM pour expédier des mail signés pour d'autres noms de domaines que ceux gérés par le serveur, il convient de les ajouter à la listes des «Extra domains to sign for».
+**On n'oubliera pas** de déclarer manuellement la clé dans les zones correspondantes, via un enregistrement TXT, sur les serveurs qui en ont la charge.
+<note warning>Un courriel signé DKIM avec une signature introuvable((Ou pire : obsolète !)) court un risque beaucoup plus élevé d'être considéré comme un pourriel qu'un courriel non signé. Y penser lorsqu'on ajoute des domaines que l'on devra gérer manuellement.</note>
+== Nom de domaine ==
+Le nom de domaine figurant dans l'enregistrement TXT a une structure particulière :
+<code><selecteur>._domainkey.<nom du domaine de mail></code>
+par exemple:
+<code>toto._domainkey.mondomaine.org.</code>
+Le nom de domaine sur lequel porte l'enregistrement TXT apparaît bien comme un sous-domaine du nom de domaine pour lequel on valide la signature d'envoi de mail (ici, //mondomaine.org.//((En notation complète, rattaché au domaine racine nommé « . ». Dans ce cas précis, la notation «toto._domainkey» seule, sans mentionner le nom de domaine parent, serait également valide mais je recommande l'utilisation de la notation générale.))).
+== Clé ==
+La manipulation de la chaîne de caractères constituant la clé est particulièrement délicate, en raison de sa longueur. C'est pourquoi un simple copier/coller est dangereux. En effet, la plupart des interfaces utilisées effectuent un reformatage de cette chaîne de caractères, pour des raisons de présentation ou pour « mâcher le travail » des éditeurs de zone DNS((Les chaînes de caractères d'un enregistrement TXT pouvant être limitées à 255 caractères, le champ TXT peut se voir découpé en plusieurs chaînes.)).
+Dans un éditeur de texte, on s'assurera donc que l'intégralité de la chaîne de caractères tient en une seule ligne. Si tel n'est pas le cas, on la reformatera pour qu'il en soit ainsi, avant de la copier pour la coller dans l'éditeur de zone DNS.
+Une fois la zone enregistrée, on s'assurera que la valeur du champ est bien celle que l'on souhaite. Autrement dit, on s'assure que l'éditeur de zone ne nous a joué de mauvais tour. Plusieurs essais, avec des syntaxes différentes, peuvent être nécessaires pour atteindre le résultat voulu.
+== Marche à suivre ==
+Les « " » ne font pas partie du texte !
+  - champ //nom// de l’enregistrement DNS
+    - on récupère le sélecteur utilisé par le serveur d'envoi de mail (ex : "toto")
+    - on concatène "._domainkey."
+    - on concatène le nom du domaine pour lequel on veut valider la signature (ex : "mondomaine.org.")
+  - champ //valeur// de l'enregistrement DNS
+    - on déclare la version de dkim et le type de signature (ex : " v=DKIM1; k=rsa; t=s; ")
+    - on concatène la clé (ex : " p=MIIBIjANBgkqhkiG9w0B…CmiQIDAQAB ")
 ==== DMARC ====
 <note warning>SPF et DKIM doivent avoir été préalablement configurés et amplement testés avant d'activer DMARC.</note>
@@ Ligne 55: / Ligne 110: @@
   - récupérer l'adresse mail indiquée (à laquelle il faudra adressé le mail)
     * NE PAS QUITTER LA PAGE !
-  - effectuer l'envoi [[reverse_ipv6#test_reel|depuis]] (via) le serveur qu'on veut tester
+  - effectuer l'envoi [[ovh:reverse_ipv6#test_reel|depuis]] (via) le serveur qu'on veut tester
   - cliquer sur le lien de vérification