ZI² Books
Une attestation que l'expéditeur ne peut pas falsifier.
SPF, DKIM et DMARC vérifient un domaine. ZI² Certified vérifie le serveur. Ensemble, ils comblent la faille qui permet à un attaquant d'envoyer une usurpation convaincante depuis une infrastructure louée.
La faille
L'hameçonnage moderne échoue rarement à l'authentification. Un attaquant enregistre un domaine ressemblant, l'héberge sur une adresse propre, publie des enregistrements SPF, DKIM et DMARC corrects, puis envoie. Toutes les vérifications passent. Le message reste une fraude.
Le signal manquant, c'est l'identité du serveur. SPF dit qu'une adresse peut envoyer pour un domaine. DKIM dit que le contenu n'a pas été modifié. Aucun ne dit voici la machine qui envoie toujours pour nous, et vous avez déjà vu sa clé.
Adresse
Cette adresse peut-elle envoyer ?
Contenu
Le corps a-t-il été modifié ?
Politique
Que faire en cas d'échec ?
Serveur
Quelle machine l'a envoyé ?
Fonctionnement
Générer une paire de clés
Une seule commande sur le serveur d'envoi. La clé privée ne quitte jamais la machine. La clé publique reçoit un identifiant court, le
kid.Publier la clé publique
Un seul enregistrement TXT à
_zi2cert.<kid>.<domaine>contient la clé publique en base64. Le même plan DNS que DKIM : aucune nouvelle infrastructure à exploiter.Signer chaque message
Le serveur d'envoi signe l'expéditeur, le destinataire, l'objet, la date, l'identifiant du message et une empreinte du corps, puis ajoute un en-tête
X-ZI2-Certifiedportant la signature, le kid et le nom du serveur.Les destinataires vérifient en quelques millisecondes
Le serveur destinataire récupère la clé, vérifie la signature et enregistre le résultat. Après quelques messages certifiés, l'expéditeur atteint un niveau de confiance, et tout message se réclamant de ce domaine sans signature valide se repère comme une usurpation.
Ce qu'il détecte
Les attaques ci-dessous passent toutes SPF, DKIM et DMARC. Chacune est détectée par une signature de serveur, car cette signature répond à une question que les trois autres ne posent jamais.
| Attaque | SPF, DKIM, DMARC | ZI² Certified |
|---|---|---|
| Usurpation depuis un autre locataire du même serveur | Tous passent | Détecté |
| Domaine ressemblant, correctement configuré | Tous passent | Détecté |
| Altération du corps | Partiel | SHA-256 complet |
| Rejeu d'un message capturé | Vulnérable | Nonce et horodatage |
| Falsification du destinataire | Non vérifié | Signé dans la charge utile |
| Signature absente d'un domaine local connu | Ambigu | Traité comme usurpé |
L'installer
Deux étapes sur le serveur d'envoi, un enregistrement DNS. Le courrier existant continue de circuler pendant toute l'opération : un message non signé est traité exactement comme aujourd'hui.
Niveaux de confiance
Niveau 3 même serveur. Niveau 2 clé échangée directement. Niveau 1 clé trouvée dans le DNS. Niveau 0 aucune signature.
Faire le point
Lancez d'abord la vérification gratuite sur votre domaine. Elle ne lit que le DNS public.
Demander l'installateur
Le logiciel de signature et les outils de gestion des clés sont fournis sur demande, avec l'enregistrement DNS à publier.