Le champ MX du DNS : un signe de confiance ?

Toute adresse e-mail se termine par un nom de domaine : ce qui suit le @. Pour qu'un message arrive, les serveurs doivent savoir où livrer le courrier de ce domaine. C'est le rôle d'une toute petite ligne dans l'annuaire d'Internet : le MX. Minuscule, mais indispensable… et bien pratique pour repérer une adresse bidon.

Le DNS, l'annuaire d'Internet

Les ordinateurs ne connaissent que des numéros : les adresses IP, comme 203.0.113.10. Les humains, eux, préfèrent les noms, comme example.com. Le DNS fait la traduction, comme le répertoire d'un téléphone qui transforme « Maman » en numéro.

Pour un site web, la question posée au DNS est simple : « à quelle adresse se trouve ce site ? ». La réponse est un enregistrement de type A (ou AAAA pour les adresses plus récentes, en IPv6). Le navigateur va directement à cette adresse, et c'est tout.

Le courrier a son propre panneau : le MX

L'e-mail, lui, a droit à un traitement spécial : un type d'enregistrement rien que pour lui, le MX (Mail eXchanger, « échangeur de courrier »). Il répond à une autre question : « pour le courrier adressé à @ce-domaine, quel serveur faut-il contacter ? ».

Pourquoi un panneau à part ? Parce que la machine qui reçoit le courrier n'est souvent pas celle qui affiche le site. Une entreprise peut héberger son site chez un hébergeur, et confier sa messagerie à Google ou à Microsoft. Le MX sert à dire : « le site est ici, mais les lettres, c'est là-bas ».

Le Web n'a pas besoin de ce détour : le navigateur va voir le site à son adresse, point. Pour l'e-mail, en revanche, un domaine qui veut recevoir du courrier doit déclarer un MX. La norme prévoit bien un plan de secours (si aucun MX n'existe, les serveurs essaient l'adresse du domaine lui-même), mais c'est un vieux reste que les domaines sérieux n'utilisent pas. Sans MX, c'est comme une maison sans boîte aux lettres. C'est l'étape 3 du guide Comment un e-mail voyage de l'expéditeur au destinataire.

Le titulaire et les remplaçants

Un domaine peut déclarer plusieurs MX, chacun avec un numéro de priorité. Règle à retenir : le plus petit numéro passe en premier, comme au golf. Les autres sont des remplaçants, comme les gardiens de but sur le banc : ils n'entrent en jeu que si le titulaire ne répond pas. Voici à quoi cela ressemble :

example.com.   MX   10   mail1.example.com.
example.com.   MX   20   mail2.example.com.

Ici, le courrier va d'abord à mail1 (priorité 10). Si ce serveur est en panne, on essaie mail2 (priorité 20). Les grands fournisseurs comme Gmail déclarent ainsi plusieurs MX, pour ne jamais perdre un message.

Un signe de confiance… avec un point d'interrogation

Un MX présent, c'est un minimum de sérieux. Une vraie entreprise, une vraie administration, une vraie personne veulent pouvoir recevoir des réponses. Leur domaine a donc une boîte aux lettres.

Un MX absent sur le domaine de l'expéditeur, c'est un signal d'alarme. Cela veut dire que l'adresse affichée dans « De : » ne peut rien recevoir : si vous répondez, votre message ne va nulle part. L'adresse a sans doute été inventée, ou jetée juste après l'envoi. C'est typique des spams et du phishing qui fabriquent des adresses à la chaîne.

Attention, le point d'interrogation compte ! Un MX ne prouve pas l'honnêteté. Un arnaqueur qui achète son propre domaine peut lui déclarer un MX en deux minutes, et même configurer SPF, DKIM et DMARC. Autre confusion fréquente : le MX indique où le courrier arrive, pas d'où il part. Le serveur qui envoie n'a pas besoin d'être le MX ; ce qui encadre l'envoi, c'est SPF, expliqué dans le guide Phishing : comment les arnaqueurs font passer leurs e-mails.

En résumé : pas de MX, gros doute. Un MX, bon début, mais on continue de vérifier.

Pourquoi Baitback le vérifie

Quand on analyse un e-mail avec Baitback, l'outil prend le domaine de l'adresse « De : » et interroge le DNS : ce domaine a-t-il un MX, ou au moins une adresse de secours ? Si la réponse est non, Baitback affiche une alerte (« ce domaine ne peut pas recevoir d'e-mails : adresse jetable ou inventée ») et ajoute 15 points au score d'alerte.

Ce contrôle n'est jamais utilisé seul : il s'ajoute aux autres indices (domaine créé il y a quelques jours, nom qui imite une marque, SPF en échec…). C'est l'ensemble qui fait monter le score, et qui aide à décider s'il faut signaler.

Le vérifier soi-même, en 10 secondes

Tout le monde devrait prendre ce réflexe avant de répondre à un inconnu, de cliquer sur un lien ou de payer quoi que ce soit. Trois façons de faire :

• Le plus simple : coller l'e-mail dans Baitback, qui fait la vérification tout seul, avec les autres contrôles.
• Sur un ordinateur (Windows, Mac ou Linux), ouvrir un terminal et taper :

  nslookup -type=mx example.com

  Sur Mac et Linux, on peut aussi utiliser :

  dig mx example.com +short

  Si la réponse ne contient aucune ligne « mail exchanger » ou « MX », le domaine n'a pas de boîte aux lettres.
• En ligne : de nombreux sites gratuits de « recherche DNS » affichent les MX d'un domaine en un clic.

Vous avez votre propre nom de domaine ? Vérifiez qu'il a bien un MX s'il reçoit du courrier. Et s'il n'envoie ni ne reçoit jamais d'e-mails, dites-le au monde entier : un « MX nul » et un SPF qui interdit tout envoi (v=spf1 -all) empêchent les arnaqueurs d'utiliser votre nom de façon crédible.

Le saviez-vous ?

• Le MX a été inventé en 1986, trois ans seulement après le DNS lui-même. L'e-mail a ainsi été l'un des tout premiers services à avoir son propre panneau dans l'annuaire.
• example.com n'appartient à personne… ou presque. Ce nom, comme example.org et tout ce qui finit par .example, est réservé depuis 1999 pour servir d'exemple. Impossible de l'acheter : c'est pour cela que les guides l'utilisent.
• Il existe un « MX nul ». Depuis 2015, un domaine peut déclarer MX 0 . : c'est l'autocollant « Pas de courrier, merci » collé sur la boîte aux lettres. Les serveurs savent alors qu'il est inutile d'insister.
• 13 noms, des centaines de copies. Tout en haut du DNS se trouvent les serveurs racines, désignés par 13 lettres, de A à M. Mais chacun est copié à des centaines d'endroits dans le monde : il y en a sans doute un pas très loin de chez vous.
• Le DNS a de la mémoire. Chaque réponse est gardée en mémoire pendant une durée choisie par le domaine, le TTL : de quelques minutes à une journée. C'est pour cela qu'un changement de MX peut mettre quelques heures à être vu partout.