Email Pro - Risque d'utilisation d'un domaine externe pour envoi email frauduleux?

Je compte enregistrer un sous domaine en faisant pointer l'entrée SPF vers OVH.

OVH ne permet pas d'associer un sous-domaine à son offre MX Mail standard.
J'ignore si c'est possible avec Mail Pro ???

quelle garantie ai-je qu'aucun autre client chez OVH n'utilise mon sous domain

SMTP impose de s'authentitifier. Votre voisin de serveur ne peut pas émettre de mails authentiques avec votre adresse d'expéditeur.

mode authoritative

Ceci n'a rien à voir.

Le serveur "authoritative" signifie que toutes les boîtes mail de votre domaine sont logées sur ce serveur. "Non authoritative" indique que vous avez aussi des boîtes sur un autre serveur, qui peut être un hébergement différent chez OVH, voire même un autre prestataire tel que Google ou Outlook.com.

Je vous remercie
L’authentification empêche certes l’usurpation de mon compte pour envoyer des emails.
Néanmoins qu’est ce qui empêche quelqu’un d’enregistrer aussi mon domaine en parallèle sur son compte ovh et de l’utiliser pour envoyer des mails avec une adresse email2@monssdomaine.domaine.fr? Il bénéficierait ainsi de l’enregistrement SPF autorisant OVH à envoyer des mails @monssdomaine.domaine.fr.
Un début de réponse pourrait être le mode authoritative qui interdirait de fait une 2ème association ultérieure du domaine. Mais ce n’est pas très clair si ça s’applique uniquement aux domaines authoritatives sur une plateforme externe à OVH:
“Si vous obtenez le message « authoritative domain detected » lors de l'ajout de votre nom de domaine sur votre plateforme e-mail, cela signifie que ce nom de domaine est déclaré en mode autoritatif sur une autre plateforme e-mail. Vous devrez donc le passer en mode non-autoritatif pour les deux plateformes afin qu'elles puissent cohabiter.”

A moins qu’il ne soit tout simplement interdit d’enregistrer un même domaine dans 2 comptes OVH différents?

Je vous remercie
L’authentification empêche certes l’usurpation de mon compte pour envoyer des emails email@mondomaine.fr
Néanmoins qu’est ce qui empêche quelqu’un d’enregistrer aussi mon domaine en parallèle sur son compte OVH et de l’utiliser pour envoyer des mails avec une adresse email2@mondomaine.fr? Il bénéficierait ainsi de l’enregistrement SPF autorisant OVH à envoyer des mails @mondomaine.fr.
Un début de réponse pourrait être d’utiliser le mode authoritative qui interdirait de fait une 2ème association ultérieure du domaine. Mais ce n’est pas très clair si ça s’applique uniquement aux domaines authoritatives sur une plateforme externe à OVH (et donc ne répondrait pas à ma problématique).
“Si vous obtenez le message « authoritative domain detected » lors de l'ajout de votre nom de domaine sur votre plateforme e-mail, cela signifie que ce nom de domaine est déclaré en mode autoritatif sur une autre plateforme e-mail. Vous devrez donc le passer en mode non-autoritatif pour les deux plateformes afin qu'elles puissent cohabiter.”

A moins qu’il ne soit tout simplement interdit d’enregistrer un même domaine dans 2 comptes OVH différents?

Bonjour,

Néanmoins qu’est ce qui empêche quelqu’un d’enregistrer aussi mon domaine en parallèle sur son compte OVH et de l’utiliser pour envoyer des mails avec une adresse email2@mondomaine.fr?

Le fait que OVH demande un vérification du domaine (viabun enregistrementdans la zoneDNS) et que c'est impossible d'avoir 2x le même domaine sur un serveur exchange.

Cordialement, janus57

qu’est ce qui empêche quelqu’un d’enregistrer aussi mon domaine en parallèle

Un début de réponse pourrait être d’utiliser le mode authoritative qui interdirait de fait une 2ème association ultérieure du domaine.

Vous faites erreur. Vous prétendez des choses qui sont fausses.

Je vous remercie
Toutefois je ne saisis pas bien le point sut la vérification de la zone DNS. De fait elle sera valide car pointant déjà vers OVH.
Concernant le 2ème, cela sous entend qu’OVH utiliserait le même Exchange pour son offre ?

Je me rends compte que mon message peut prêter à confusion. Il ne s’agit pas ici d’usurper un nom de domaine en l’enregistrant soit même (effectivement tout fournisseur de nom de domaine vérifie d’abord sa disponibilité) mais du risque de le voir associé avec un autre compte Email pro.

Plus particulièrement ce point-ci du guide de configuration:
https://help.ovhcloud.com/csm/fr-email-pro-getting-started?id=kb_article_view&sysparm_article=KB0052231

[quote]
saisir un nom de domaine non géré par votre compte OVHcloud : choisissez cette option si le nom de domaine concerné est enregistré chez OVHcloud mais configurable depuis un autre compte client OVHcloud, ou si votre nom de domaine est enregistré dans un autre bureau d'enregistrement. Vous devrez être en mesure de modifier la configuration du nom de domaine (sa zone DNS) afin que le service E-mail Pro puisse fonctionner correctement. [/quote]

D’ailleurs l’article indique clairement la possibilité d’utiliser un domaine enregistré chez OVHCloud depuis un autre compte. Cela suggère donc que un nom de domaine (tout du moins OVH) puisse être utilisé sur plusieurs comptes différents. J’imagine qu’il y a alors un mécanisme interne demandant au détendeur du domaine de valider l’association. Toutefois quid d’un nom de domaine externe? Quel mécanisme empêcherait une éventuelle 2ème association à un compte OVH?

Entre temps, je pense avoir trouvé une piste de solution en utilisant une clé DKIM (ainsi qu’une police DMARC rejetant en cas d’invalidité de la signature), à condition toutefois que la clé privée associée ne soit pas partagée entre les comptes OVH. Il me suffira ainsi d’enregistrer la clé publique DKIM correspondante sur mon DNS.
De fait quand bien même quelqu’un associerait mon nom de domaine avec son compte Email Pro, sans la clé privée, il lui sera impossible d’avoir une signature valide et donc tout mail envoyé sera rejeté.

Bonjour,

De fait elle sera valide car pointant déjà vers OVH.

non il faut indiquer une valeur spécifique qui est donnée au moment de l'activation du service et si le service activé n'est pas sur le même compte client alors il faut le faire manuellement.

Concernant le 2ème, cela sous entend qu’OVH utiliserait le même Exchange pour son offre ?

non il y a plusieurs cluster exchange (ex1/ex2/ex3 etc.)

De fait quand bien même quelqu’un associerait mon nom de domaine avec son compte Email Pro, sans la clé privée, il lui sera impossible d’avoir une signature valide et donc tout mail envoyé sera rejeté.

sauf que c'est OVH qui créer et manage la clé privé quand on demande l'activation

mais de toute façons comme dit plus haut, si quelqu'un souhaite enregistrer votre domaine sur une autre offre OVH il devra faire une validation dans la zone DNS de votre domaine donc pas possible.

Cordialement, janus57

sauf que c'est OVH qui créer et manage la clé privé quand on demande l'activation

Tant que la clé reste propre à chaque compte.

non il faut indiquer une valeur spécifique qui est donnée au moment de l'activation du service et si le service activé n'est pas sur le même compte client alors il faut le faire manuellement.

Pourriez-vous je vous prie être plus précis sur ce qu'est cette valeur spécifique? S'agit il d'un champs DNS spécifique?

Bonjour,

Pourriez-vous je vous prie être plus précis sur ce qu'est cette valeur spécifique? S'agit il d'un champs DNS spécifique?

il s'agit d'un champ TXT avec un token dedans.

Cordialement, janus57

Je vous remercie.
Celà répond en effet bien à la problématique.