Mois : septembre 2022

Courriels – Spams et Blacklists – Quelques vérités à connaître

Hier, par erreur j’ai envoyé un courriel (eMail) depuis mon adresse numericable.fr vers une adresse Gmail.com. Ce courriel n’est jamais arrivé à destination. Les deux adresses sont valides (elles existent et fonctionnent). Que s’est il donc passé ?

Je reproduis la réponse du serveur Gmail ci-dessous (l’identité du destinataire est remplacée par « tartempion » par soucis de confidentialité) :

This is the mail system at host nc-smtp3.sdv.fr.

I'm sorry to have to inform you that your message could not
be delivered to one or more recipients. It's attached below.

For further assistance, please send mail to postmaster.

If you do so, please include this problem report. You can
delete your own text from the attached returned message.

                   The mail system

<tartempion@gmail.com>: host gmail-smtp-in.l.google.com[173.194.76.26] said:
    550-5.7.26 This message does not pass authentication checks (SPF and DKIM
    both 550-5.7.26 do not pass). SPF check for [numericable.fr] does not pass
    with ip: 550-5.7.26 [212.95.69.93].To best protect our users from spam, the
    message has 550-5.7.26 been blocked. Please visit 550-5.7.26
    https://support.google.com/mail/answer/81126#authentication for more 550
    5.7.26 information. l6-20020a5d6d86000000b0022864c98ff5si2904784wrs.381 -
    gsmtp (in reply to end of DATA command)

Bien entendu le serveur ne transmet les informations de blocage qu’en langue anglaise. Pour les personnes non anglophones, je résume: Le message n’a pas pu être délivré au destinataire (signé: le mail system). La raison en est le blocage du message par les dispositifs d’identification des spams: numericable.fr est identifié comme origine de courriels indésirables.

Plusieurs raisons à ce blocage:

  • Depuis le rachat de Numéricable par SFR les adresses de courriel utilisant le domaine numericable.fr ont migré vers les serveurs sfr.fr,
  • Les serveurs numéricable ont été fermés en septembre 2019,
  • Le domaine numericable.fr subsiste mais utilise les serveurs sfr. Les systèmes d’analyse des courriels malveillants sondent les entêtes de messages et ne voient que le domaine numericable.fr
  • Les adresses de ce domaine en voie d’extinction sont utilisées massivement pour des activités malveillantes (phishing, spamming, etc..) suite entre autres à des usurpations d’identité.

Les mêmes raisons sont applicables au domaine Wanadoo.fr.

Ça fait plus de 10 ans qu’Orange a demandé à ses clients de migrer leur adresse wanadoo en orange ! Alors oui, à cause de résistants, ces adresses sont encore valides mais de plus en plus blacklistées par les divers FAI car les spammeurs utilisent massivement l’alias wanadoo fourni automatiquement par Orange aux comptes orange. De plus aucune adresse wanadoo ne peut plus être créée de nos jours.

La solution, pour les réfractaires qui veulent absolument garder une adresse de courriel en voix d’extinction et pour éviter ce type de blocage par les systèmes de détection de spams: n’utilisez votre adresse numericable ou wanadoo que pour la réception. N’utilisez que les adresses avec les domaines sfr.fr ou orange.fr pour l’envoi de courriel. J’utilise des adresses en voix d’extinction entre autre pour valider des abonnements à des services dont je sais qu’ils vont occasionner du harcèlement publicitaire ou d’autres désagréments.

NOTA: C’est toujours intéressant d’observer les dysfonctionnements des systèmes en créant des situations imprévues. C’est par étourderie que j’ai envoyé un courriel depuis une adresse qui n’est normalement pas utilisée à cet effet. Il est facile de se tromper si on possède six adresses différentes...

Gestion des Mots de passe

Qui n’a jamais pesté contre la multitude d’identifiants et de mots de passe qui doivent être utilisés dans la vie numérique. La dématérialisation des échanges avec le moindre fournisseur de service ou le moindre commerce électronique a sérieusement diminué les échanges avec les vrais gens. Dans le même temps elle a sérieusement compliqué les sécurités d’accès aux sites web qui permettent des échanges d’informations sensibles (exemple: les services bancaires, certains services publiques, les compagnies d’assurance, etc..). Il n’est pas rare qu’un citoyen lambda ait à conserver une trentaine de mots de passe. J’en utilise régulièrement une quarantaine et je ne prétends pas faire d’excès.

Il existe à ma connaissance deux attitudes pour gérer cette multitude de mots de passe. La première consiste à tenir un carnet (papier ou informatique – genre tableau MS Excel). La seconde consiste à utiliser un coffre fort numérique spécialisé. J’utilise depuis quelques années un de ces coffres forts numériques. Le côté pratique, la sécurité et la facilité d’utilisation de ce service m’ont immédiatement convaincu.

Sur cette niche du marché des services numériques l’offre est assez limitée. On peut citer des services sous licence propriétaire: 1pasword, Keeper, Dashlane et Sticky Password. Ces derniers sont des offres commerciales (payantes). Il existe un service sous Licence Open Source: Bitwarden qui est gratuit pour une utilisation individuelle. C’est celui que j’utilise actuellement.

Ce coffre fort numérique fonctionne avec un service cloud: un serveur distant accessible par le web. Ce serveur distant peut être celui de Bitwarden, ou le votre en auto-hébergement. Les échanges avec le serveur sont cryptés pour assurer un niveau de sécurité optimal. Le service assure la synchronisation avec les différents clients installés sur mes équipements (smartphone, micro-ordinateurs). Les mots de passe et identifiants contenus dans le coffre fort sont accessibles sur tous ces équipements simultanément. Un mot de passe unique permet l’accès au coffre fort. En cas de besoin pour renforcer la sécurité (je n’en suis pas encore là), un accès en deux étapes peut être installé.

L’installation du client Bitwarden est possible sous la forme d’une extension de navigateur internet (par exemple Firefox, Edge ou Chrome). Dans ce cas de couplage avec le navigateur, le service permet de compléter directement identifiant et mot de passe sur n’importe quelle page web qui les demande (pour peu que ces informations soient déjà enregistrées dans le coffre fort). Sinon le service propose d’enregistrer les identifiants et mots de passe qui sont entrées au clavier sur la page web qui les demande.

Voilà.