Aller au contenu
CultureCultureParad IT-ORAInfrastructure Informatique

SMTP

SMTP (Simple Mail Transfer Protocol) est le protocole utilisé pour envoyer et relayer un email — de l’expéditeur à son serveur de messagerie, puis de serveur en serveur jusqu’au serveur du destinataire. Il ne sert jamais à consulter sa boîte de réception : ce rôle revient à IMAP ou POP3.

Le trajet d’un email

Section intitulée « Le trajet d’un email »
  1. Le client de messagerie envoie le message à son serveur SMTP sortant (souvent sur le port 587, avec authentification et TLS — submission).
  2. Ce serveur consulte le DNS pour trouver le serveur de messagerie du destinataire, via l’enregistrement MX du domaine (voir DNS).
  3. Il relaie le message au serveur SMTP du destinataire (port 25, historiquement en clair, aujourd’hui protégé par STARTTLS chez les grands opérateurs).
  4. Le serveur destinataire dépose le message dans la boîte du destinataire, consultable ensuite via IMAP/POP3.

Ports à retenir

Section intitulée « Ports à retenir »
Port Usage
25 Relais serveur à serveur (SMTP historique)
587 Soumission par un client de messagerie, avec authentification (STARTTLS)
465 Soumission avec TLS implicite dès la connexion (SMTPS)

Le problème de fond : aucune vérification d’expéditeur native

Section intitulée « Le problème de fond : aucune vérification d’expéditeur native »

SMTP a été conçu dans les années 1980, sans mécanisme d’authentification de l’expéditeur : rien n’empêche nativement un serveur d’envoyer un email en prétendant venir de n’importe quelle adresse. C’est la base du spoofing d’email et du phishing par usurpation de domaine. Trois mécanismes, tous portés par le DNS, comblent ce manque :

  • SPF (Sender Policy Framework) : un enregistrement TXT qui liste les serveurs autorisés à envoyer des emails pour un domaine — le serveur destinataire vérifie que l’IP émettrice figure bien dans cette liste.
  • DKIM (DomainKeys Identified Mail) : le serveur émetteur signe cryptographiquement chaque email avec une clé privée ; le destinataire vérifie la signature avec la clé publique publiée en DNS — garantit que le message n’a pas été altéré et vient bien du domaine signataire.
  • DMARC : indique quoi faire d’un email qui échoue les contrôles SPF/DKIM (rien, mise en quarantaine, rejet), et permet de recevoir des rapports sur les tentatives d’usurpation de son propre domaine.