DNS, SMTP, SPF, DKIM, si vous êtes confrontés à des problèmes d'acheminent de vos emails avec Salesforce et que ces acronymes ne vous parlent pas, cet événement est fait pour vous ! Merci à Frédéric Grither pour la présentation.

1. Mieux acheminer les emails avec Salesforce
Salesforce Developer Group, Paris
(enregistrée)
Jeudi 21 janvier 2021
Frédéric Grither
French
Developer
Group

2. Spammé ou Spammeur ?
Les critères de la note
Plusieurs niveaux de
surveillance
1. logiciels des serveurs de réception,
2. logiciels des clients de messagerie,
3. signalements manuels
✓
Les courriers indésirables datent du début d’internet et ne s’arrêteront jamais.
Nous subissons le problème et nous le créons par nos messages en masse.
1. contenu = images, mots, texte, liens,
désinscription, contenu de l’objet,
2. contenant = l’en-tête et ses
composants, headers (expéditeur),
3. fréquence,
4. logiciel d’envoi, code html
5. ip source, etc,
6. réponse du serveur = rejet, message
attendu par le destinataire,
7. comportement du destinataire,
8. etc.

3. Cette conférence est pour développeurs
Nous allons regarder les coulisses
Pas le contenu des e-mails
Comment faire passer nos messages en masse ?

4. SMTP et DNS
SMTP = Simple Mail Transfer Protocol = transit des messages, quel que soit le
sens, et stockage standardisé.
POP/IMAP : le logiciel client interroge le serveur de messagerie.
DNS = Domain Name System = à la base de tous les échanges d'Internet.
Associe l’adresse IP en langage humain et vice-versa.
En plus des adresses IP, d’autres informations peuvent être associées aux
noms de domaines comme des enregistrements contre le spam (SPF, DKIM),
pour la sécurité des informations du DNS (DNSSEC) et bien d’autres.

5. Acheminement des messages
Rappel : l'Internet Engineering Task Force (IETF) et ses RFC
• RFC 1035 = Spécifications du Domain Name System
https://tools.ietf.org/html/rfc1035 et www.bortzmeyer.org/1035.html
• RFC 7208 = Sender Policy Framework (SPF) for Authorizing Use of Domains
in Email, https://tools.ietf.org/html/rfc7208 et www.bortzmeyer.org/7208.html
• RFC 6376 = DomainKeys Identified Mail (DKIM) Signatures
https://tools.ietf.org/html/rfc6376 et www.bortzmeyer.org/6376.html
• RFC 2821 = Simple Mail Transfer Protocol https://tools.ietf.org/html/rfc2821 et
www.bortzmeyer.org/2821.html. Hors de la conférence mais elle a sa place ici.

6. La configuration de Salesforce
Survolons les paramétrages généraux de l’envoi d’email depuis Salesforce
Aide en ligne en français est ici
Aide en ligne en anglais est là
• Examinons davantage les paramètres basiques : livraison des e-mails
• Accès avec le menu
Français : Administrer > Administration des e-mails > Livraison
Anglais : Administer > Email Administration > Deliverability
Le comportement de Salesforce dans la page Livraison n’est pas (ou n’était
pas) facilement documenté.

7. Sender ID
RFC 4406 = Sender ID: Authenticating E-Mail https://tools.ietf.org/html/rfc4406
et www.bortzmeyer.org/2821.html
Passé au statut « historic »
Inconvénients
Avantages
1.Microsoft l’utilise toujours
2.Fait mieux arriver les
messages dans les logiciels
Microsoft
✓
1. Ne convient qu’à Microsoft
2. Affiche les emails
différemment dans les
autres clients messagerie

8. Gestion des rebonds
au premier retour d’échec
du serveur destinataire, le
serveur d’envoi doit réagir
et ne plus utiliser cette
adresse.
✓
Le menu Livraison
Sender ID
• facile et immédiat
• paramétrage subtil
• exclusif de SPF et DKIM
• détaillons-le un instant
✓

9. Sender ID – apparence chez le destinataire

10. 3
2
1
DomainKey Identified Mail
= authentifie le serveur d’expédition
par rapport à son domaine
Sender Policy Framework
= légitimise un serveur de messagerie
• Gênent l’usurpation d’identité
• Rassurent les anti-spam
• Donc, améliorent la notation
A quoi servent SPF et DKIM ?

11. Examinons SPF

12. SPF
Le client de messagerie vérifie que l’e-mail
entrant d’un domaine vient d’un hôte autorisé
image www.cyberpunk.rs

13. SPF – Exemple réel
Intention : rendre Salesforce légitime pour envoyer des messages
au nom de l’utilisateur Frédéric, un employé de l’entreprise Locial
(locial.fr chez OVH)
La page d’aide de Salesforce dit :
insérez include:_spf.salesforce.com dans l’enregistrement
SPF
Pour nous faciliter la tâche, utilisons le logiciel libre happyDNS plutôt
que la console de l’hébergeur. www.happydns.org

19. Deux cas
2
1
Enregistrement déjà présent
>> évitez un nouveau
>> La bonne pratique = ajouter la
valeur de Salesforce dans l’existant
Enregistrement SPF absent dans le DNS
>> Le créer ainsi
v=spf1 mx include:_spf.salesforce.com ~all
Méfiance : maximum 10 requêtes avec
les sous-jacentes que nous ignorons.
Le signe ~ devant « all » importe !

25. Examinons DKIM

26. DKIM
image https://faq.o2switch.fr
Le client de messagerie vérifie que la signature de
l’en-tête de l’e-mail entrant correspond à la clé
publique publiée dans le domaine

27. DKIM – Exemple réel
Intention : authentifier tous les message sortant de Salesforce au
nom de l’utilisateur Frédéric, un employé de l’entreprise Locial
(locial.fr chez OVH)
La page d’aide de Salesforce dit :
je génère vos clés publiques et vous les publiez.
Nous utiliserons aussi le logiciel libre happyDNS www.happydns.org

33. On voit que Salesforce veut des sous-domaines avec des alias (CNAME)
ici : confdevparis._domainkey en sous-domaine de locial.fr

41. Même processus de création d’un sous-domaine et
d’ajout d’un service pour la clé alternative

42. Même processus de
création d’un sous-
domaine et d’ajout
d’un service pour la
clé alternative

49. Examinons DMARC

50. OBJECTIF
Statistiques
d’acheminement
UTILE
En tant que journal de
marche du serveur
PASSIF
Aucun effet sur la
notation anti-spam
DMARC
RFC 7489 = Domain-based Message
Authentication, Reporting, and Conformance
https://tools.ietf.org/html/rfc7489
Alliance de plusieurs entreprises, parmi les
plus grosses : https://dmarc.org.
Nombre d’adhérents faible.
C’est le serveur destinataire qui agit.

51. DMARC – Exemple réel
Intention : surveiller tous les message envoyés au nom de locial.fr et
vérifier qu’ils sont conformes à SPF et DKIM.
En cas d’échec d’un des deux, DMARC donne 3 choix pour l’e-mail :
1.none : enregistre les résultats sans action. L’e-mail est distribué et un
message sera envoyé à l’administrateur du domaine expéditeur pour l’alerter.
2.quarantine : quarantaine pour tous les e-mails qui échouent au respect
des protections. Ils peuvent être traités ultérieurement par le destinataire.
3.reject : les e-mails sont directement supprimés pour qu’ils ne soient pas
reçu par le destinataire.
Nous utiliserons encore le logiciel libre happyDNS www.happydns.org

52. DMARC – Exemple réel
v=DMARC1;p=none;sp=reject;adkim=s;aspf=s;ri=3600;rua=mailto:
frederic.grither@locial.fr;ruf=mailto:frederic.grither@loci
al.fr
• p : politique à suivre pour le domaine principal
• sp : politique à suivre pour les sous-domaines
• ri : délais d’envoi des rapports, par défaut 1 jour = 86400
• rua : rapports agrégés
• ruf : rapports détaillés
On peut substituer par http://nomdomaine.ext à la place de l’adresse email et le
rapport sera alors stocké sur le serveur équipé du logiciel adéquat.

58. Vérification

60. Tester la livraison

61. Le relais de messagerie

62. Tous les messages deSalesforce sont
envoyés par votre serveur SMTP
Le relais de messagerie
Image www.getsmtprelay.com

63. Le relais de messagerie
Bénéfices
1. stockage local des e-mails (finance)
2. e-mails envoyés depuis Salesforce
sont dans le dossier Éléments
envoyés du clients de messagerie,
3. pas d’usurpation d'identité.
✓
Risques
1. expertise d’intégration = complexité
accrue de l’architecture, sécurité
2. gestion des rebonds de Salesforce,
serveur différent de l’expéditeur
3. limites d’envois de Salesforce
4. paramètres rigides

69. Les RBL Real-time Blackhole List -
www.spamhaus.org
Les RFC www.rfc-editor.org
https://mail-tester.com
https://mxtoolbox.com
www.happydns.org
Les outils

70. fichiers binaires :
https://get.happydns.org/master pour Apple,
Linux, Windows, Raspberry Pi
image Docker :
https://hub.docker.com/r/happydns/happydns :
docker container run -e
HAPPYDNS_NOAUTH=1 -p 8081:8081
happydns/happydns
Développeurs, traducteurs, rédacteurs,
concepteurs d’écrans, testeurs,
contribuez ! Dépôt Framagit :
https://framagit.org/happyDNS/happydns
Happy DNS

71. Frédéric Grither
frederic@grither.net