🛡️ Mise en place et validation d’un anti-spoofing mail efficace (Postgrey + SPF entrant + SpamAssassin)

L’anti-spoofing mail est un enjeu majeur lorsqu’on auto-héberge son serveur de messagerie. Malgré la mise en place de SPF et DKIM en sortie, il arrive encore de recevoir des emails semblant provenir de son propre domaine.
Dans cet article, je détaille une mise en place réaliste et testée en conditions réelles d’un anti-spoofing mail efficace, basé sur Postgrey, SPF entrant et SpamAssassin, sans faux positifs ni rejet SMTP agressif.

---

🎯 Objectif

L’objectif n’est pas de bloquer aveuglément, mais de construire une chaîne de filtrage cohérente qui :

• réduit drastiquement le spam automatisé,
• détecte les tentatives d’usurpation d’identité,
• laisse passer les emails légitimes,
• délègue la décision finale à un moteur de scoring.

La solution repose sur trois briques complémentaires :

1. Postgrey (greylisting)
2. SPF entrant (policyd-spf)
3. SpamAssassin (analyse et décision)

---

Pourquoi l’anti-spoofing mail ne repose pas uniquement sur SPF et DKIM

SPF et DKIM sont souvent perçus comme des mécanismes de blocage stricts. En réalité, ce n’est pas toujours le cas.

Beaucoup de grands fournisseurs (Gmail, Outlook, etc.) publient des enregistrements SPF en ~all (softfail).
Cela signifie :

• « l’IP n’est probablement pas autorisée »
• mais pas « rejetez systématiquement le mail »

SPF fournit donc un signal, pas une décision finale.
C’est précisément pour cela qu’un moteur de scoring comme SpamAssassin reste indispensable dans une stratégie d’anti-spoofing mail sérieuse.

Pour plus de détails sur le fonctionnement de SPF, la documentation officielle est disponible ici :
https://www.openspf.org/

---

1️⃣ Postgrey : le premier filtre, simple et efficace

Postgrey applique une règle volontairement basique :

Un vrai serveur mail réessaie. Un spammer ne le fait généralement pas.

Fonctionnement

• Première tentative → rejet temporaire (450 Greylisted)
• Nouvelle tentative après quelques minutes → acceptée

Avantages

• Très efficace contre le spam automatisé
• Réduction significative de la charge sur SpamAssassin
• Pratiquement aucun faux positif aujourd’hui

Postgrey agit avant SPF et SpamAssassin, ce qui est parfaitement normal : il sert de pré-filtre grossier.

---

2️⃣ SPF entrant : évaluer l’authenticité du mail reçu

Pour l’analyse SPF en entrée, j’utilise postfix-policyd-spf-python.

Installation

apt install postfix-policyd-spf-python

Intégration dans Postfix

smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_unauth_destination,
    check_policy_service inet:127.0.0.1:10023

À ce stade, le serveur est capable de distinguer :

• SPF Pass
• SPF Softfail
• SPF Fail

⚠️ Un point essentiel :
Un SPF softfail n’est pas une erreur, mais une information à exploiter dans le scoring.

---

3️⃣ Test réel d’un spoof SPF (conditions réalistes)

Pour valider le comportement réel du serveur, le test a été effectué :

• depuis WSL (Ubuntu) sous Windows,
• en IPv4 (mon serveur bloquant tout IPv6),
• via le port 587 (submission) (mon FAI bloquant le port 25 en sortie),
• avec l’outil swaks.

Exemple de commande :

swaks \
  --server 147.135.136.17 \
  --port 587 \
  --tls \
  --from fake@gmail.com \
  --to user@mondomaine.tld \
  --data "Subject: test SPF\n\nTest spoof SPF"

Résultat observé côté serveur

Received-SPF: Softfail (mailfrom)
client-ip=89.x.x.x
envelope-from=fake@gmail.com

➡️ SPF entrant fonctionne exactement comme prévu.

---

4️⃣ SpamAssassin : la décision finale

Après passage de Postgrey et analyse SPF, le message est traité par SpamAssassin.

Le mail de test est arrivé dans le dossier spam, avec un score explicite :

Content analysis details: (7.3 points, 4.0 required)

SPF_SOFTFAIL
SPOOFED_FREEMAIL
RDNS_DYNAMIC
KHOP_HELO_FCRDNS

Analyse

• SPF fournit le signal (SPF_SOFTFAIL)
• L’IP résidentielle et le HELO incohérent renforcent le score
• La décision est prise sans rejet SMTP

👉 Résultat attendu et souhaitable.

---

🧠 Conclusion : une chaîne anti-spoofing mail équilibrée

Composant	Rôle
Postgrey	Filtrage grossier dès la connexion
SPF entrant	Signal d’authenticité
SpamAssassin	Décision finale par scoring

Cette approche permet :

• de détecter efficacement les spoof,
• de limiter les faux positifs,
• de conserver une excellente délivrabilité.

---

🔜 Aller plus loin (optionnel)

Il est possible de renforcer encore l’anti-spoofing mail avec :

• des règles SpamAssassin ciblées pour son propre domaine,
• une politique DMARC plus stricte,
• ou un ajustement fin des scores.

👉 Uniquement si un problème réel apparaît.
Dans l’état, la configuration est saine, robuste et suffisante.

---

✅ À retenir

L’anti-spoofing mail efficace repose sur plusieurs couches, pas sur un seul mécanisme.

Observer, scorer et décider est souvent plus efficace que bloquer brutalement.