DNS inversé et votre serveur d'envoi

Module 5: Réputation et les grands destinataires · Temps de lecture : 9 minutes

Objectif pédagogique : à l'issue de cette leçon, vous saurez expliquer pourquoi l'adresse IP du serveur qui envoie vos e-mails doit avoir un DNS inversé correct, déterminer quel serveur c'est dans votre cas, et vérifier que l'aller et le retour correspondent.

Notions clés : serveur d'envoi, enregistrement PTR, forward-confirmed reverse DNS (FCrDNS), nom HELO/EHLO, nom générique, hébergement mutualisé, serveur dédié (VPS), propriétaire du bloc d'adresses IP

Quel serveur envoie réellement vos e-mails ?

Le module 4 portait sur votre domaine : SPF, DKIM et DMARC figurent dans le DNS de example.com. Dans ce module, nous nous intéressons à autre chose : le serveur qui remet votre e-mail au destinataire. Ce serveur a une adresse IP, et les destinataires évaluent cette adresse indépendamment de votre domaine.

Quel est ce serveur dépend de la manière dont vous envoyez vos e-mails :

Vous trouvez l'adresse IP du serveur d'envoi dans les en-têtes d'un e-mail que vous vous êtes envoyé à vous-même ou à une autre adresse (leçon 1.5). Repérez la ligne Received: la plus haute, celle ajoutée par le serveur destinataire. Elle contient quelque chose comme :

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

L'adresse entre crochets, 192.0.2.25, est l'adresse IP avec laquelle le serveur expéditeur s'est connecté. Le nom qui la précède (smtp.hosting.example) est le nom que le destinataire a trouvé pour cette adresse via le DNS inversé.

Le DNS inversé en bref

Le DNS inversé relie une adresse IP à un nom, au moyen d'un enregistrement PTR. Vous en avez appris les bases dans le cours DNS (leçon 4.6) : l'enregistrement ne se trouve pas dans la zone de votre domaine mais dans la zone inversée de l'adresse IP, laquelle appartient à l'organisme qui gère le bloc d'adresses IP.

Pour l'e-mail, trois points sont importants :

1. Une PTR existe. Une adresse IP sans DNS inversé ressemble à une machine quelconque sur internet. Gmail refuse ce type d'e-mail avec le message 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. Le nom pointe bien vers la même adresse. L'adresse IP 192.0.2.25 a pour PTR smtp.hosting.example, et smtp.hosting.example a pour enregistrement A 192.0.2.25. C'est ce qu'on appelle le forward-confirmed reverse DNS (FCrDNS). Gmail, Yahoo et T-Online le mentionnent explicitement dans leurs exigences.
3. Le nom ressemble à celui d'un serveur de messagerie. Un nom comme 192-0-2-25.dsl.provider.example ou host25.dynamic.provider.example trahit une connexion résidentielle ou client. Les filtres antispam pénalisent cela, ou refusent la connexion d'emblée.

Pour IPv6, les mêmes règles s'appliquent. Si un serveur envoie via IPv6, l'adresse IPv6 doit elle aussi avoir une PTR et pointer en retour via un enregistrement AAAA. Un serveur correct en IPv4 mais pas en IPv6 rencontrera surtout des problèmes chez Gmail : Google cite l'absence de PTR IPv6 comme cause d'une « IPv6 authorization error ».

Le nom HELO

Lorsqu'un serveur se connecte, il se présente avec EHLO (ou l'ancien HELO) et un nom (leçon 1.2). La RFC 5321 indique qu'il doit s'agir du nom complet du serveur. En pratique, les destinataires vérifient que ce nom :

• est un nom réel, existant (pas de localhost, pas d'adresses IP brutes, pas de nom absent du DNS) ;
• correspond au DNS inversé, ou appartient au moins au même domaine.

Avec une offre d'hébergement ou un service de messagerie, c'est le gestionnaire qui s'en occupe. Si vous gérez vous-même un serveur de messagerie, vous configurez le nom HELO dans votre logiciel de messagerie (dans Postfix, cela s'appelle myhostname) et vous veillez à ce que ce nom, la PTR et l'enregistrement A soient tous identiques.

Hébergement mutualisé : la PTR n'a pas besoin d'être votre domaine

Une question fréquente : « Le DNS inversé ne devrait-il pas être mail.example.com, puisque c'est mon domaine ? » Non. En hébergement mutualisé et chez les grands services de messagerie, un seul serveur envoie des e-mails pour des centaines, voire des milliers de domaines. L'adresse IP ne peut avoir qu'une seule PTR, qui contient donc le nom du serveur lui-même, par exemple server12.hosting.example.

C'est normal et c'est une bonne chose. Les destinataires vérifient que la PTR existe, qu'elle pointe en retour et qu'elle n'est pas générique. Ils ne vérifient pas que votre propre nom de domaine y figure. Le lien entre votre domaine et le serveur se fait via SPF (le serveur figure dans votre SPF) et DKIM (le serveur signe au nom de votre domaine).

Chez WebOké, cela fonctionne par exemple ainsi : les serveurs d'une offre d'hébergement ont un DNS inversé avec le nom du serveur lui-même, sous webawere.nl, qui pointe lui aussi en retour. Chez les autres hébergeurs et services de messagerie, cela fonctionne de la même manière, avec leurs propres noms de serveurs.

Un serveur personnel : que devez-vous mettre en place vous-même ?

Si vous envoyez vos e-mails directement depuis votre propre serveur, par exemple un VPS avec une boutique en ligne ou un serveur de messagerie personnel, vous êtes vous-même l'expéditeur et vous devez mettre en place davantage de choses :

1. Choisissez un nom, par exemple mail.example.com.
2. Créez l'enregistrement A (et l'enregistrement AAAA) de ce nom vers l'adresse IP du serveur, dans le DNS de votre domaine.
3. Demandez la PTR auprès du fournisseur du serveur. Généralement, le panneau client propose un champ « Reverse DNS » ou « rDNS ». Vous y saisissez le même nom.
4. Configurez le nom HELO de votre logiciel de messagerie avec ce même nom.
5. Ajoutez l'adresse IP dans votre SPF (ip4: et ip6:) et activez DKIM dans votre logiciel de messagerie.
6. Vérifiez que le port 25 sortant est ouvert. De nombreux fournisseurs le ferment par défaut pour éviter les abus ; il faut alors le faire ouvrir, ou envoyer via un relais de votre fournisseur ou un service d'envoi.

Un serveur de messagerie sur une connexion internet résidentielle ou de bureau classique est presque toujours une mauvaise idée. Ces adresses figurent souvent sur des listes d'« adresses d'utilisateurs finaux » (comme la Policy Block List de Spamhaus, leçon 5.2), vous ne pouvez généralement pas choisir vous-même la PTR, et T-Online exige explicitement que de tels systèmes envoient via le relais d'un fournisseur adapté.

Vérifier

Avec une fenêtre de commande (cours DNS, leçon 8.2) :

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Si la deuxième requête renvoie la même adresse, le FCrDNS est correct. Pour IPv6, procédez de la même manière avec dig -x 2001:db8::25 et dig AAAA.

Vous pouvez aussi voir comment un destinataire l'a perçu. Dans les en-têtes, le serveur destinataire indique le nom qu'il a trouvé entre parenthèses après from. Si vous y voyez unknown, c'est qu'il n'a trouvé aucune PTR. Certains serveurs ajoutent aussi leur propre vérification, comme iprev=pass dans la ligne Authentication-Results: (RFC 8601).

Résumé

• Le serveur d'envoi est le serveur qui remet votre e-mail au destinataire. Les destinataires évaluent son adresse IP indépendamment de votre domaine.
• Cette adresse IP a besoin d'une PTR qui pointe en retour vers la même adresse (FCrDNS), pour IPv4 et IPv6, avec un nom qui n'est pas générique.
• Le nom HELO doit être un nom existant qui correspond à la PTR.
• En hébergement mutualisé et chez les services de messagerie, c'est le nom du serveur qui figure dans la PTR, pas votre domaine. C'est normal.
• Avec un serveur personnel, vous configurez vous-même le nom, les enregistrements A/AAAA, la PTR (via votre fournisseur), le HELO, le SPF et le DKIM.

Quiz

Exercice

Exercice Z5.1 : Le serveur d'envoi de votre propre domaine. Envoyez un e-mail depuis votre propre adresse vers une autre adresse vous appartenant (par exemple une adresse Gmail ou Outlook.com) et ouvrez les en-têtes. Recherchez l'adresse IP du serveur qui a remis l'e-mail, le nom PTR de cette adresse, et indiquez si ce nom pointe en retour vers la même adresse (oui/non). Si vous n'avez pas de domaine personnel, utilisez l'adresse IP du serveur de messagerie mx00.t-online.de. Le programme interroge en direct la PTR et l'enregistrement A/AAAA, et les compare.

Pour aller plus loin

Les étapes décrites dans ces articles s'appliquent aux panneaux de WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.

• Envoyer des e-mails depuis votre VPS et configurer le reverse DNS
• Cours DNS gratuit 4.6: Reverse DNS (PTR) : du numéro au nom
• Explication du processus d'envoi des e-mails / SMTP
• RFC 5321 (SMTP), paragraphe 4.1.1.1 sur le nom EHLO ; RFC 8601 sur l'en-tête Authentication-Results