L’avenir de l’e-mail
(fastmail.com)- Dans un environnement où l’IA lit la boîte de réception, résume les messages et exécute même des tâches, la vérification de l’expéditeur devient la condition centrale de la confiance dans l’e-mail
- SPF, DKIM et DMARC constituent l’architecture de base de l’authentification des e-mails en combinant autorisation du serveur, intégrité du message et politique de traitement en cas d’échec
- À mesure que les filtres IA et les assistants IA deviennent des fonctions standard de l’expérience e-mail, les résultats d’authentification deviennent des signaux essentiels pour juger le spam, le phishing et les actions automatiques
- Lorsque Google et Yahoo ont commencé à exiger une configuration DMARC des expéditeurs de masse au début de 2024, l’infrastructure d’authentification est devenue une condition préalable à une délivrabilité fiable
- L’authentification confirme l’identité du domaine, mais ne garantit pas l’intention ; dans un environnement e-mail automatisé, elle sert à accroître le coût et la complexité de l’usurpation
Authentification des e-mails : la couche de confiance dont dépend l’avenir de l’e-mail
- L’e-mail souffre depuis longtemps d’un problème de spoofing : n’importe qui peut mettre n’importe quoi dans le champ « From » d’un message
- Par le passé, un utilisateur attentif pouvait repérer le problème grâce à des indices comme un nom de domaine légèrement différent, une urgence peu crédible ou une formulation maladroite
- Avec la généralisation de l’IA, la manière dont les utilisateurs gèrent leurs e-mails change, et la question devient moins de savoir si un message est arrivé que de pouvoir réellement en vérifier la provenance
- Des standards auxquels la plupart des utilisateurs d’e-mail n’avaient jamais besoin de penser s’installent discrètement au cœur de l’expérience e-mail
Qu’est-ce que l’authentification des e-mails ?
- L’authentification des e-mails repose sur trois standards interdépendants : SPF, DKIM et DMARC
- SPF vérifie si le serveur qui a envoyé le message est autorisé à l’envoyer au nom du domaine concerné
- DKIM ajoute une signature cryptographique à chaque message afin que le serveur de réception puisse vérifier s’il a été modifié pendant le transit
- DMARC relie SPF et DKIM et indique au serveur de réception s’il doit rejeter, mettre en quarantaine ou accepter les messages qui échouent aux contrôles
- À eux trois, ces standards permettent à la boîte de réception de déterminer si un message qui semble provenir d’une banque ou d’un employeur vient réellement de ce domaine
- Sans authentification, il est impossible de distinguer les messages usurpés des messages légitimes, et ce problème s’aggrave à mesure que la manière d’interagir avec l’e-mail évolue
Comment l’IA intervient dans l’e-mail
- Deux types d’IA deviennent des fonctions standard dans l’expérience e-mail
- Le premier est le filtrage par IA, qui détermine ce qui relève du spam, du phishing ou des messages importants
- Ces systèmes existent depuis des années, mais leurs versions modernes sont bien plus puissantes
- Les résultats d’authentification deviennent de plus en plus une entrée clé dans les décisions prises par les filtres IA
- Le second est celui des assistants IA qui résument la boîte de réception, font ressortir les actions à entreprendre, rédigent des brouillons de réponse et, dans certains cas, agissent à la place de l’utilisateur
- Fastmail n’a pas intégré d’IA à la boîte de réception, et les e-mails des utilisateurs ne sont pas traités en arrière-plan par des modèles
- Le serveur MCP est un endpoint d’API qui peut se connecter à un client IA choisi par l’utilisateur lorsqu’il l’autorise explicitement
- Si l’utilisateur ne se connecte pas, rien ne change
- Dans l’écosystème e-mail au sens large, les assistants IA qui agissent de manière autonome dans la boîte de réception deviennent de plus en plus courants
- Lorsqu’un humain lit un e-mail suspect, il peut remarquer un caractère supplémentaire dans le domaine expéditeur ou une requête formulée de façon étrange
- Un assistant IA, lui, peut lire le contenu et l’urgence apparente pour repérer ce qui demande une action et agir en conséquence
- Si un message d’usurpation convaincant existe, l’authentification doit l’arrêter avant qu’il n’atteigne la boîte de réception
L’authentification devient une infrastructure
- Google et Yahoo ont commencé, début 2024, à exiger des expéditeurs de masse qu’ils configurent correctement DMARC pour assurer une délivrabilité stable de leurs e-mails
- Avec ce changement, l’authentification est passée d’un sujet que les expéditeurs pouvaient reléguer au second plan à une condition fondamentale pour atteindre la boîte de réception
- L’authentification des e-mails suit une trajectoire comparable à celle du HTTPS sur le Web
- HTTPS est passé du statut de bonne pratique à celui d’attente normale, puis d’infrastructure
- Même sans savoir précisément ce que signifie le cadenas dans la barre d’adresse, son absence sur un site web est devenue un signal d’alerte impossible à ignorer
- De nouveaux standards se construisent sur cette base d’authentification
- BIMI permet aux expéditeurs vérifiés d’afficher directement leur logo dans les boîtes de réception compatibles
- C’est un petit signal visuel de confiance, à un moment où il devient plus difficile de reconnaître un phishing généré par IA à partir du seul contenu
- La conception de DKIM est réexaminée à la lumière des enseignements tirés de la spécification expérimentale ARC
- Cela permet de suivre et d’attribuer les modifications dans des flux d’e-mails complexes afin que les systèmes de filtrage puissent déterminer l’origine de contenus malveillants
- Cela aide aussi à éviter qu’une mauvaise réputation soit attribuée au mauvais acteur
L’authentification seule ne suffit pas
- L’authentification vérifie l’identité du domaine, mais pas l’intention
- Un fraudeur disposant d’un domaine ressemblant au vrai et d’un enregistrement DMARC correctement configuré peut réussir les contrôles d’authentification de l’expéditeur
- L’authentification augmente fortement le coût et la complexité de l’usurpation, et cela devient d’autant plus important que l’avenir de l’e-mail se fait plus automatisé
- Les boîtes de réception du futur seront plus rapides, plus intelligentes et plus riches en fonctions que celles utilisées aujourd’hui par la plupart des gens
- L’authentification est ce qui permettra à cet avenir d’être non seulement pratique, mais aussi digne de confiance
- Les standards mûrissent depuis des années, et il faut continuer à construire sur cette base à mesure que l’e-mail devient plus automatisé
L’e-mail ne disparaîtra pas
- Tout le monde a besoin de l’e-mail : les banques envoient des relevés, les médecins transmettent des informations de rendez-vous, et d’autres sites envoient des réinitialisations de mot de passe
- Tout le monde a une adresse e-mail
- Le meilleur indicateur de la longévité d’une technologie est souvent le temps qu’elle a déjà traversé, et l’e-mail existe depuis très longtemps
- Fastmail est à l’avant-garde du développement des standards qui soutiendront l’e-mail du futur et continuera d’évoluer avec lui pour construire un meilleur e-mail pour tous
1 commentaires
Réactions sur Hacker News
Il est difficile de juger à quel point cela sera réellement utile, mais je suis favorable à toute évolution qui rendrait l’e-mail plus sûr, afin que les organisations, en particulier les banques, les administrations et les assureurs, cessent de créer des alternatives comme des boîtes de messagerie sécurisées fermées
On vous dit « connectez-vous au centre de messagerie sécurisée », puis là-bas vous ne pouvez consulter que pendant une courte période des messages mal fichus, avant qu’ils ne soient supprimés définitivement
Ma boîte de réception est en quelque sorte une archive de vie consultable, et ces alternatives cassent cela
Par exemple, les assureurs doivent respecter HIPAA, et les informations de santé ne peuvent être envoyées que vers d’autres systèmes conformes à HIPAA
Pour cela, il faut conclure avec ce système un contrat appelé BAA, ce qui est irréaliste avec l’e-mail
Un assureur ne peut pas passer un contrat avec tous les hébergeurs de messagerie dans le monde, et il ne peut pas non plus savoir où un message finira réellement après l’envoi
Il est aussi très difficile de distinguer avec précision les e-mails contenant des données de santé de ceux qui n’en contiennent pas, car même un nom de personne ou une adresse IP peuvent être concernés selon le contexte
Donc le choix par défaut consiste simplement à tout envoyer vers le centre de messagerie, et même si la sécurité de l’e-mail s’améliore énormément, ce point changera difficilement
Il faudrait approuver les expéditeurs à l’avance, comme lorsqu’on ajoute des amis sur un réseau social
J’ai déjà vu une clinique médicale supprimer des messages susceptibles de lui nuire au tribunal
C’est pourquoi je dis à ceux qui m’envoient ce genre de choses de les envoyer par vrai e-mail
Et elle envoie aussi un e-mail séparé, si bien qu’il m’arrive de me reconnecter en croyant qu’il s’agit d’un autre message
Il y a aussi un bouton « télécharger ce message en PDF », mais en réalité il ne fait qu’ouvrir un wrapper de navigateur web
On m’a dit que cela arriverait vers la semaine suivante
Il y a sans doute plusieurs raisons de compliance, mais cela me paraît totalement absurde
J’ai lu l’article jusqu’au bout puis j’ai été surpris. L’ensemble donnait l’impression d’une introduction à une annonce ou à quelque chose de nouveau, mais il n’y avait rien
C’est peut-être moi qui suis lent à comprendre, mais du coup je n’ai pas saisi quelle était la conclusion essentielle
Chaque fois qu’une entreprise commence à parler d’un avenir radieux, cela a généralement signifié que mon expérience utilisateur allait bientôt se dégrader
En réalité, le message est juste « il faut désormais passer DMARC », alors que c’est déjà vrai depuis deux ans
Il est exact que l’authentification aide à bloquer les domaines usurpés, mais à mon avis le plus gros problème n’est pas là
Les attaquants trouvent des moyens d’amener des plateformes de paiement comme PayPal ou Stripe à envoyer des e-mails
Ils identifient ensuite quelles informations figurent dans les e-mails générés, puis définissent le nom de l’entreprise sur quelque chose comme « il y a un problème, appelez ce numéro »
Le nom de l’entreprise apparaît alors dans l’objet ou le corps d’un e-mail légitime provenant réellement de PayPal et passant toutes les authentifications, ce qui lui donne un caractère urgent
Comme ces messages sont réellement envoyés par une vraie entreprise et passent toutes les vérifications, DMARC ne peut pas les arrêter, et c’est précisément ainsi que je vois les attaquants opérer récemment
J’espérais sincèrement que Fastmail proposerait quelque chose pour traiter ce problème
En résumé, c’est à peu près cela. On ne sait pas comment y parvenir, mais l’idée est que l’e-mail va devenir plus rapide et plus intelligent
Franchement, je me demande pourquoi cet article a été publié et recommandé
J’aime Fastmail. J’ai quitté Proton il y a quelques années, parce que j’ai estimé que les compromis de l’e-mail chiffré n’en valaient pas la peine
Même si l’on fait totalement confiance à Proton, la plupart des e-mails transitent de toute façon par AWS, Outlook, Gmail
Je suis très satisfait du service Fastmail. Le prix est raisonnable, c’est très rapide même avec une grosse boîte de réception, et ils n’ajoutent ni fonctions inutiles ni lourdeurs
Au départ, je pensais utiliser l’application mail par défaut du système d’exploitation, mais l’application et le site web de Fastmail sont suffisamment bons pour que je n’utilise plus qu’eux
Trente ans de mémoire musculaire accumulée avec le webmail deviennent inutiles à cause de cette « application »
On dirait qu’un développeur web voulait jouer au développeur d’app desktop
Ce n’est même pas un accident : il paraît qu’il s’agit d’un choix délibéré de ne pas inclure le raccourci clavier de retour à la page précédente
Le support client a dit qu’ils l’ajouteraient comme « demande de fonctionnalité »
En pratique, nous sommes en train de sous-traiter à l’IA le jugement sur les e-mails, tout en essayant de compenser en renforçant SPF/DKIM
Cela donne l’impression de rendre les serrures plus solides tout en distribuant davantage de passes-partout
On ne peut pas parler comme si Fastmail avait une autorité absolue sur l’e-mail
Fastmail n’est pas l’e-mail en lui-même, c’est un service qui en dépend
Tant qu’on ne pourra pas déplacer sa boîte de réception et la router vers le fournisseur de son choix, ces systèmes d’authentification auront du mal à avoir une vraie valeur à grande échelle
S’il est possible de porter un numéro de téléphone, alors en théorie une adresse e-mail devrait aussi pouvoir être portée
Les systèmes d’authentification présentés ici n’aident pas suffisamment à rendre cette portabilité possible
Quelle que soit l’offre utilisée, il faut un moyen valable d’authentifier la personne elle-même, et non le nom de domaine de l’e-mail
En d’autres termes, il faut faire évoluer une norme permettant de signer au nom du fournisseur d’hébergement lui-même
Qu’en 2026 la signature et le chiffrement des e-mails ne soient toujours pas la norme n’a aucun sens
Mais tant que le modèle économique des grands fournisseurs d’e-mail dépend du fait que nous ne les utilisions pas, cela restera probablement ainsi
Il faut tout le traitement de machine learning pour rendre une boîte de réception réellement utilisable, et pour cela les e-mails ne doivent pas être chiffrés
Sinon, il aurait été bien plus difficile pour Microsoft de partager les données Outlook avec 1000 partenaires
Les e-mails chiffrés sonnent bien, mais si l’on considère les menaces réelles, ils protègent finalement peu de choses par rapport à la situation actuelle et font perdre beaucoup de fonctionnalités
À la base, l’e-mail est déjà chiffré de mon ordinateur à mon serveur de messagerie, de mon serveur de messagerie à celui du destinataire, puis du serveur du destinataire à son ordinateur
Les seuls acteurs qui peuvent voir autre chose que moi et le destinataire sont les serveurs de messagerie intermédiaires, et le mieux que puisse apporter l’e-mail chiffré est d’écarter certains acteurs qui jouent pourtant un rôle essentiel dans ce processus
En particulier, les en-têtes des e-mails restent publics, donc même dans le meilleur des cas il ne s’agit pas d’une communication très privée
En revanche, l’e-mail chiffré casse les traitements côté serveur, comme les filtres. Il en va de même pour l’anti-spam, et compte tenu surtout du volume colossal de spam qui n’atteint même pas le dossier spam, il n’existe pas de solution pratique
Les utilisateurs s’attendent à pouvoir se connecter au webmail et lire immédiatement leurs messages, et le webmail est devenu le client e-mail dominant
Si on résout cela en donnant les clés au serveur, le serveur redevient un acteur capable de lire les e-mails, ce qui ne change rien à la situation actuelle
Le problème encore plus grand, c’est la distribution des clés. Pour envoyer un e-mail, il faut trouver la clé du destinataire, et à grande échelle la méthode la plus pratique consiste à demander au serveur de messagerie la clé publique de l’utilisateur
Or ce serveur est le seul acteur capable d’intercepter tous les messages destinés à cet utilisateur ; il peut donc fournir sa propre clé, retirer le chiffrement, puis rechiffrer vers l’utilisateur sans grand risque d’être détecté
Les alternatives comme les serveurs de clés PGP ne fonctionnent pas non plus. Même à l’époque où il n’y avait pas un million d’utilisateurs intéressés par le chiffrement PGP, l’écosystème des serveurs de clés PGP s’est effondré il y a quelques années, sans commune mesure avec l’échelle de milliards d’utilisateurs de l’e-mail
L’e-mail chiffré me semble être moins un rêve irréalisable à cause du modèle économique des fournisseurs que parce que l’architecture de l’e-mail fournit déjà une sécurité suffisamment correcte, ce qui rend très difficile de tirer un réel bénéfice d’un chiffrement supplémentaire
Il faudra un système avec une bonne expérience utilisateur et un excellent chiffrement
L’article mentionne la proposition ARC, qui a échoué, et qui visait à éviter que DKIM ne casse lors du transfert des e-mails
https://www.ietf.org/archive/id/draft-adams-arc-experiment-c...
Je me demande s’il serait possible de convaincre Google de passer d’ARC à une autre approche
Aujourd’hui, Gmail accorde énormément d’importance à la réputation des serveurs d’e-mail, au point de pouvoir traiter de manière systématiquement défavorable les serveurs qui ne lui plaisent pas
« Le deuxième point, c’est l’assistance par l’IA. Des outils qui résument la boîte de réception, mettent en avant les actions à effectuer, rédigent des brouillons de réponse et, dans certains cas, agissent à la place de l’utilisateur »
C’est la partie la plus perverse. Au final, on se retrouve avec des bots qui parlent à d’autres bots, et les humains sortent de la boucle
Tous les problèmes de l’e-mail peuvent être résolus avec GPG, mais cela détruirait le business des services d’e-mail comme Fastmail
Parce qu’ils ne pourraient plus lire ni analyser les e-mails des utilisateurs, ni faire de publicité, ni vendre les profils utilisateurs aux entreprises de pub, ni entraîner une IA sur les données des utilisateurs
C’est ce futur de l’e-mail que j’aimerais voir. Malheureusement, personne n’utilise vraiment GPG, et c’est assez difficile à enseigner aux gens
La seule manière de prouver qu’une communication est authentique sera de faire à l’avance un échange de clés en face à face
GPG n’est qu’une des voies possibles, et quelqu’un finira par proposer un moyen simple à mettre en œuvre à l’échelle d’une organisation
Pour l’analyse, les métadonnées ont plus de valeur que le contenu des messages. Comment GPG résout-il cela ?
J’espérais que cet article parle de JMAP
Ce n’est pas du chiffrement du contenu, mais cela montre qu’il reste encore de la marge d’amélioration dans l’environnement e-mail de base
Il est frustrant de ne pas pouvoir envoyer d’e-mails dans un projet perso même en respectant toutes les règles et en mettant les bons en-têtes
J’ai lu avec intérêt l’article de jeremyevans sur l’auto-hébergement d’e-mail, mais il ne traite que de la réception et pas de l’envoi
https://code.jeremyevans.net/2021-07-29-running-my-own-email...