Fiche 5 — Lire l'en-tête d'un e-mail suspect
Cette fiche explique quels champs de l'en-tête d'un e-mail regarder en premier pour juger d'un message douteux. Les champs sont définis dans la RFC 5322 (format du message) ; le champ Authentication-Results dans la RFC 8601 ; SPF, DKIM et DMARC dans les RFC 7208, 6376 et 7489.
1. Afficher l'en-tête complet
Chaque messagerie propose une option « Afficher l'original », « Afficher la source » ou « Afficher les en-têtes ». Copiez le texte brut : c'est lui qui sert à l'analyse, pas l'affichage du message.
2. Les champs à lire
| Champ | Ce qu'il indique | Point de vigilance |
|---|---|---|
| From | Adresse affichée à l'utilisateur. | Facile à falsifier : ne prouve rien seule. |
| Return-Path | Adresse d'enveloppe (MAIL FROM), utilisée pour les rebonds et pour SPF. | Un domaine différent de From est courant pour les envois en masse légitimes, mais suspect pour un message censé venir d'une banque ou d'un service interne. |
| Reply-To | Adresse utilisée si vous répondez. | Un domaine différent de From dans un message qui demande un paiement ou des identifiants est un signal fort. |
| Received | Une ligne ajoutée par chaque serveur traversé. | Se lit de bas en haut : la ligne la plus basse est la plus ancienne. Seules les lignes ajoutées par vos propres serveurs sont fiables ; les plus anciennes peuvent être inventées par l'expéditeur. |
| Authentication-Results | Verdict de SPF, DKIM et DMARC, écrit par le serveur de réception. | À croire seulement s'il est ajouté par votre fournisseur (son nom figure en début de champ). |
| Message-ID | Identifiant unique du message. | Un domaine sans rapport avec l'expéditeur annoncé est un indice parmi d'autres. |
3. Lire Authentication-Results
Exemple simplifié :
Authentication-Results: mx.exemple.fr; spf=pass smtp.mailfrom=banque.example; dkim=pass header.d=banque.example; dmarc=pass header.from=banque.example
- spf=pass : le serveur d'envoi est autorisé par le domaine de l'enveloppe (Return-Path).
- dkim=pass : la signature est valide pour le domaine indiqué après header.d.
- dmarc=pass : au moins l'un des deux est valide et son domaine correspond au domaine de From (alignement).
- fail, softfail, none : le test a échoué ou n'a pas pu être fait. Un échec n'est pas une preuve de fraude (transfert, liste de diffusion), mais sur un message sensible il justifie de ne pas agir.
Un « pass » prouve seulement que le message vient bien du domaine indiqué. Un domaine ressemblant (banque-secure.example) peut avoir un SPF, un DKIM et un DMARC parfaitement valides. Vérifiez toujours que le domaine lui-même est le bon.
4. Méthode en cinq étapes
- Comparer les domaines de From, Return-Path et Reply-To.
- Lire Authentication-Results et noter le domaine de chaque « pass ».
- Lire les lignes Received de bas en haut jusqu'au premier serveur de votre fournisseur.
- Survoler les liens du message sans cliquer et comparer leur domaine à celui annoncé.
- En cas de doute, contacter l'expéditeur par un canal déjà connu, jamais par les coordonnées du message. En entreprise, signaler le message au service informatique.
5. Pour vérifier le domaine d'un expéditeur
L'outil de vérification SPF, DKIM et DMARC permet de voir comment un domaine est configuré.