Nouveau outil Forgejo pour valider les protocoles de sécurité des e-mails sur les serveurs auto-hébergés

L'équipe Sig-I/O de Forgejo a publié une nouvelle utilitaire open-source nommé mailcheck, conçu spécifiquement pour les administrateurs système gérant leur propre infrastructure d'e-mail. Publié le 5 octobre 2026, cet outil en ligne de commande permet aux opérateurs de valider les protocoles critiques de sécurité des e-mails, notamment SPF, DKIM, DMARC et TLSA, sans risquer d'envoyer des messages de test. Il offre une méthode légère pour diagnostiquer les erreurs de configuration qui entraînent souvent des problèmes de délivrabilité ou des vulnérabilités de sécurité dans les environnements auto-hébergés.

Ce qui s'est passé

Cette version introduit un outil de diagnostic spécialisé qui effectue des vérifications de politiques DNS et des tests de connectivité SMTP. Contrairement aux simulateurs complets d'authentification des e-mails, mailcheck se concentre sur la validation de la syntaxe et de l'existence des enregistrements DNS qui régissent la façon dont les autres serveurs traitent les e-mails entrants provenant de votre domaine. Il vérifie la validité syntaxique et les limites de recherche des enregistrements Sender Policy Framework (SPF), valide l'encodage des clés publiques DomainKeys Identified Mail (DKIM) et inspecte les politiques Domain-based Message Authentication, Reporting, and Conformance (DMARC).

Pour la sécurité du transport, l'outil examine les enregistrements Transport Layer Security Authentication (TLSA), qui font partie du protocole DNS-based Authentication of Named Entities (DANE). Il se connecte au port 25 du serveur de messagerie cible pour vérifier la disponibilité SMTP et la prise en charge de STARTTLS. L'outil sépare la vérification des certificats de l'établissement de la session TLS, ce qui lui permet d'inspecter des certificats qui ne sont pas publiquement approuvés mais peuvent être valides dans un contexte DANE. Cette distinction est cruciale pour les administrateurs qui comptent sur DANE pour l'authentification plutôt que sur les autorités de certification traditionnelles.

L'utilitaire génère ses résultats en utilisant les codes de sortie standard Nagios, facilitant ainsi son intégration dans les piles de surveillance existantes. Un statut de 0 indique OK, 1 correspond à WARNING, 2 à CRITICAL et 3 à UNKNOWN. Le statut global reflète le résultat le plus grave trouvé lors de la vérification. Par exemple, si SPF est valide mais qu'aucun enregistrement TLSA n'existe, l'outil renvoie un statut WARNING avec des métriques détaillées telles que la durée de connexion en millisecondes.

Détails clés

• L'outil utilise la bibliothèque github.com/miekg/dns (v1.1.70) pour les requêtes DNS, prenant en charge EDNS0 et les fonctionnalités liées à DNSSEC.
• Les vérifications SPF valident la syntaxe des enregistrements et la limite de dix recherches DNS, mais ne simulent pas récursivement chaque adresse IP d'expéditeur possible.
• La validation DKIM nécessite une saisie manuelle du sélecteur, car DNS ne fournit pas de méthode universelle pour énumérer tous les sélecteurs.
• Les vérifications DMARC valident les balises des enregistrements et reviennent à l'enregistrement du domaine organisationnel si aucun n'existe pour le sous-domaine spécifique.
• La correspondance TLSA prend en charge les usages 2 et 3, considérant les enregistrements comme sécurisés uniquement si la recherche MX était également sécurisée par DNSSEC.
• La version minimale TLS par défaut est 1.2, ce qui fait échouer la vérification pour les serveurs ne prenant en charge que les versions héritées comme 1.0 ou 1.1.

Contexte

La sécurité des e-mails repose fortement sur les enregistrements DNS pour empêcher l'usurpation d'identité et garantir une transmission chiffrée. SPF indique aux serveurs récepteurs quelles adresses IP sont autorisées à envoyer des e-mails pour un domaine. DKIM ajoute une signature numérique aux e-mails, permettant aux destinataires de vérifier que le message n'a pas été altéré en transit. DMARC combine ces deux éléments, indiquant aux destinataires quoi faire si un e-mail échoue aux vérifications SPF ou DKIM, par exemple le rejeter ou le marquer comme spam.

DANE et TLSA vont plus loin en liant les certificats TLS aux enregistrements DNS. Cela empêche les attaques de type homme du milieu où un attaquant pourrait présenter un certificat valide mais non autorisé. Cependant, DANE repose sur DNSSEC (Domain Name System Security Extensions) pour s'assurer que les enregistrements DNS eux-mêmes n'ont pas été falsifiés. Mailcheck signale le statut DNSSEC basé sur le bit Authenticated Data (AD) renvoyé par le résolveur récursif, ce qui signifie qu'il fait confiance à la validation du résolveur plutôt que d'effectuer sa propre validation complète de la chaîne DNSSEC.

Pourquoi c'est important

Pour les équipes exécutant des logiciels auto-hébergés, la délivrabilité des e-mails est un point de douleur courant. Des enregistrements SPF mal configurés peuvent faire atterrir les notifications légitimes dans les dossiers de spam, tandis que l'absence de politiques DMARC laisse les domaines vulnérables aux attaques de phishing. Les méthodes de test traditionnelles impliquent souvent l'envoi d'e-mails réels à des services externes comme Gmail ou Outlook, ce qui est lent, imprécis et peut déclencher des limites de débit ou des filtres anti-abus. Mailcheck offre une manière déterministe de valider les configurations localement avant de déployer des modifications dans les zones DNS de production.

De plus, la séparation de la vérification des certificats de l'établissement de la session TLS est significative pour les serveurs de messagerie internes ou privés. Les administrateurs utilisent souvent des certificats auto-signés ou issus d'une AC privée pour la communication interne. Les outils standards pourraient signaler ceux-ci comme des erreurs, mais mailcheck permet l'inspection de ces certificats par rapport aux enregistrements TLSA, soutenant ainsi des architectures internes sécurisées qui ne dépendent pas des chaînes de confiance publiques. Cela en fait un atout précieux pour les environnements hybrides où certains flux d'e-mails sont publics et d'autres privés.

Ce que vous pouvez faire

• Installez mailcheck depuis le dépôt Forgejo et exécutez-le contre votre domaine pour établir une base de référence de votre posture actuelle de sécurité des e-mails.
• Utilisez l'indicateur --dkim avec des sélecteurs connus pour vérifier que vos clés publiques sont correctement publiées et bien formatées.
• Intégrez l'outil dans votre pipeline CI/CD ou votre système de surveillance en utilisant ses codes de sortie compatibles Nagios pour des alertes automatisées.
• Pointez l'indicateur --dns vers un résolveur récursif de validation fiable si vous avez besoin d'un rapport précis sur le statut DNSSEC pour DANE.
• Testez la configuration TLS de votre serveur SMTP en veillant à ce qu'elle prenne en charge les normes actuelles.