Résumé

  • Le RFC 8601 fournit un langage commun pour transmettre une évaluation d’authentification. Il ne donne généralement ni intégrité propre au champ ni preuve autonome de son producteur. L’autorité vient de la relation locale entre moteur, authserv-id, chemin, suppression à la frontière et consommateur.
  • Une décision rejouable conserve les octets reçus, le champ usurpé retiré, le champ local ajouté, les versions des producteurs et consommateurs, les propriétés testées, la chaîne ARC éventuelle et l’action finale. Hors de cette chaîne, pass est un texte transportable, pas une confiance transportable.

La syntaxe ne distingue pas le témoin de l’usurpateur

Prenons un contrôle fictif, pas un incident attribué. Un émetteur externe insère un champ bien formé qui revendique l’identifiant du domaine destinataire. Le MTA de bord archive le hachage des octets entrants, retire cette revendication, exécute ses propres contrôles puis ajoute un résultat local. Les deux lignes visibles peuvent être identiques ; leur provenance est opposée.

Le RFC 8601 décrit précisément le risque : un acteur malveillant peut employer le domaine du destinataire comme authserv-id et annoncer une réussite. Si l’entrée n’est pas nettoyée, un MUA ou un filtre peut croire une assertion parfaitement écrite mais totalement externe.

L’objet réel est donc un canal d’assertion. Il commence au moteur qui mesure un état déterminé du message et se termine au logiciel qui transforme cette mesure en affichage, score, quarantaine ou livraison. Les contrôleurs de chaque liaison font partie de la preuve.

Un dictionnaire commun ne nomme pas un arbitre commun

Le champ contient un identifiant de service, une version facultative, puis un ou plusieurs couples méthode=résultat avec raisons et propriétés. Plusieurs contrôles peuvent partager une ligne ; plusieurs lignes peuvent coexister. Les registres IANA rendent leurs noms interprétables entre logiciels.

Cette couche commune ne fixe pas la politique. Le RFC 8601 n’ordonne ni d’accepter sur dkim=pass, ni de rejeter sur spf=fail, ni de réduire l’analyse de contenu sur dmarc=pass. Chaque domaine décide localement de la portée du signal.

Enregistrer un mot signifie que sa sémantique est documentée. Cela ne prouve pas qu’un moteur particulier a exécuté le contrôle, ni qu’il l’a correctement rapporté. Confondre vocabulaire interopérable et mandat universel épaissit une coordination minimale en autorité invisible.

La frontière est administrative avant d’être géographique

Le modèle normal relie producteurs et consommateurs dans un même Administrative Management Domain. Le consommateur doit pouvoir traiter l’assertion comme fiable grâce à une relation gouvernée avec le producteur et le chemin. La manière d’établir cette confiance reste locale.

Un moteur hébergé chez un prestataire peut se trouver dans cette frontière si le contrat, les clés, les droits de changement et l’audit le placent sous contrôle. Une machine voisine peut rester extérieure. L’inventaire doit couvrir MX publics, relais régionaux, secours, soumission, filtres, stockage et intégrations MUA. Le simple rectangle « passerelle de sécurité » masque les chemins de contournement.

Le RFC 5598 explique pourquoi : les ADMD ont des autorités et politiques indépendantes. Un passage entre eux impose des règles de frontière, même si les deux services appartiennent au même fournisseur commercial.

Supprimer l’usurpation crée l’espace de confiance

Comme le champ n’a souvent aucun mécanisme d’intégrité, le domaine participant retire à l’entrée les occurrences qui prétendent lui être associées. Il peut ensuite ajouter sa propre évaluation. Ce geste n’est pas cosmétique : il sépare le nom que l’attaquant peut écrire du nom que l’organisation accepte.

Les canaris doivent viser l’identifiant actuel, les anciens identifiants encore couverts par le délai de livraison, les variations de casse et de pliage, les doublons, les positions autour de Received et les messages encapsulés. Chaque MX, route de crise et région doit produire le même comportement.

Deux surfaces restent nécessaires. Un magasin restreint garde les octets bruts et la trace du retrait pour l’enquête. Le message remis aux consommateurs internes ne garde que les champs répondant aux règles de provenance. Effacer toute trace ruine l’attribution ; conserver la revendication dans le flux de confiance ruine l’application.

authserv-id n’existe qu’avec son registre local

L’identifiant peut désigner l’ADMD entier ou un moteur précis. Il ne s’authentifie pas. Le consommateur doit connaître les valeurs acceptées, le producteur correspondant, les méthodes permises, le chemin et l’époque de validité.

Un changement de nom comporte une période de chevauchement. Des messages retardés ou réévalués peuvent justifier l’ancien identifiant pendant un intervalle borné. Sans propriétaire, échéance et test négatif, cette transition devient une autorisation permanente. Une passerelle autorisée à rapporter SPF et DKIM ne gagne pas automatiquement le droit de parler pour SMTP AUTH, une décision DMARC distante ou un résultat ARC ultérieur.

La position renseigne ; elle ne signe pas

Le RFC 8601 classe le champ parmi les traces et prévoit son ajout en tête au fil des contrôles. Le RFC 5322 protège davantage l’ordre des blocs de trace que celui des champs ordinaires. Cette position aide à reconstruire la séquence.

Elle ne suffit pourtant pas. L’expéditeur peut placer une ligne en tête du message qu’il soumet. Un intermédiaire peut réordonner certains champs. Une passerelle peut ajouter un résultat correct au-dessus d’un faux résultat qu’elle n’a pas supprimé. Choisir mécaniquement la première ou la dernière ligne remplace la provenance par une convention fragile.

Le consommateur identifie d’abord le bloc de trace et le producteur autorisés, puis interprète méthode et propriétés. Un identifiant local en double, placé sous une frontière externe, portant une version inconnue ou rapportant une méthode hors périmètre doit devenir une anomalie observable.

Le sujet de pass change selon la méthode

SPF traite l’autorisation du client SMTP pour une identité d’enveloppe ou HELO donnée ; il n’authentifie ni le corps ni toutes les adresses visibles. DKIM vérifie une signature et les parties couvertes, sans établir à lui seul l’identité humaine ni l’innocuité. Le DMARC actuel du RFC 9989 évalue l’alignement avec l’Author Domain ; il n’autorise pas une transaction, une récupération de compte ou une pièce jointe.

Réduire ces sujets distincts à authenticated=true crée une compétence absente des mécanismes d’origine. Une action doit rester liée à la méthode, au résultat, à la propriété observée, au producteur, à l’époque et à la version de règle. Le texte libre reason sert au diagnostic, pas à l’exécution automatique.

ARC authentifie la garde, pas la justesse du jugement

Lorsqu’un message quitte un ADMD puis y revient, le texte survivant n’hérite pas de la confiance d’origine. Un nouveau contrôle décrit l’état présent, mais ne peut pas toujours reproduire ce qu’un relais ou une liste avait observé avant de modifier le corps ou l’enveloppe.

ARC transporte des évaluations ordonnées et signées, dont ARC-Authentication-Results. Le RFC 8617 compare cette évaluation au témoignage d’une partie vérifiable, plutôt qu’à une preuve dure indépendamment reproductible. La validité de la chaîne ne dépend pas de l’exactitude ni même de la syntaxe de l’évaluation enfermée.

Une chaîne valide attribue les assertions aux sealers et préserve leur ordre. Le destinataire décide encore si ces acteurs sont dignes de confiance et si leur témoignage doit modifier la disposition. ARC authentifie certains gardiens ; il ne certifie ni leur jugement ni la sécurité du message.

La mise en service se prouve sur le chemin réel

Postfix expose événements SMTP, champs et corps aux applications Milter ; le module AuthRes de SpamAssassin consomme effectivement ces résultats. L’existence des deux extrémités ne prouve pas leur raccordement correct dans une installation donnée.

Le test traverse chaque entrée avec de faux identifiants locaux actuels et retirés. Il vérifie capture, suppression, exécution du moteur, ajout au bon endroit, sélection du bon champ par le consommateur et action finale. Il est rejoué après changement de passerelle, bascule régionale, migration de fournisseur ou routage d’urgence.

La configuration montre l’intention. Les octets livrés et les décisions observées montrent la réalité. La règle durable garde le format commun mince, localise la confiance et démontre continuellement la frontière par du code en fonctionnement.

Sources