Vous êtes ici :
Maintien de la sécurité de la messagerie
Salesforce fournit des outils pour s'assurer que l'intégrité de votre réseau n'est pas compromise lors de l'envoi et de la réception d'e-mails afin de maintenir la conformité réglementaire. Avant d'envoyer des e-mails à partir d'une plate-forme Salesforce, pensez à mettre en œuvre les mesures de sécurité ci-dessous. Bien que facultatifs, leur activation constitue l'obstacle le plus efficace à la protection sur le réseau.
Éditions requises
| Disponible avec : Toutes les éditions |
Confidentialité des e-mails
Offrez aux utilisateurs la possibilité de se désabonner entièrement des e-mails ou de les recevoir moins souvent. Les utilisateurs peuvent être informés des promotions, mais peut-être une fois par semaine, pas tous les jours. Permettez aux utilisateurs de répondre sur votre site Web ou en composant un numéro de téléphone dédié. Traitez immédiatement leur demande.
Sécurité de la messagerie
Lors de l'envoi d'e-mails, utilisez une méthode de cryptage forte. Le cryptage utilise des algorithmes complexes pour brouiller les données envoyées. Les données cryptées utilisant des protocoles appropriés rendent l'interception par des utilisateurs malveillants beaucoup plus difficile.
Meilleures pratiques de messagerie
Lors de l'envoi d'un e-mail, assurez-vous que l'objet et le contenu de l'e-mail correspondent. La ligne d'objet doit rapidement capter l'attention du lecteur et exprimer le but. Par exemple, Sam travaille pour le cabinet de XYZ Doctor et est chargé d'envoyer des e-mails de rappel aux patients. Au lieu d'envoyer des rappels aux patients, Sam envoie du matériel marketing promotionnel à 500 patients par jour. Ces patients ne trouvent pas les détails de leur rendez-vous dans l'e-mail et sont forcés d'appeler, encombrant les lignes téléphoniques.
Respectez les utilisateurs et ne les inondez pas de messages. Les utilisateurs ont à l'esprit le nombre d'e-mails attendus des détaillants, du gouvernement, des politiciens et des cabinets médicaux. Utilisez les enquêtes et les commentaires des utilisateurs pour anticiper le nombre approprié d'e-mails à envoyer à vos clients.
Dans la plupart des cas, les utilisateurs ignorent les e-mails s'ils n'ont pas donné l'autorisation de les recevoir ou s'ils ne connaissent pas l'expéditeur. Avant d'envoyer des e-mails en masse ou même un e-mail personnalisé, assurez-vous que l'utilisateur vous a donné une autorisation explicite. Si l'utilisateur vous bloque ou marque votre adresse e-mail comme spam, vos coordonnées ne seront pas transmises.
Sécurité de la couche des transactions (TLS)
Le protocole TLS (version 1.2 et supérieure) crypte le contenu du courrier pendant la transmission. Par défaut, le courrier envoyé depuis Salesforce utilise le protocole TLS lorsqu'il est pris en charge par l'agent de transfert de courrier (MTA) destinataire.
Salesforce ne prend plus en charge le protocole TLS version 1.0. Si le protocole TLS 1.0 est utilisé, les e-mails sont envoyés en clair.
Examinez les options TLS dans Transaction Layer Security (TLS) pour ajouter une protection de sécurité supplémentaire à votre messagerie et à votre réseau.
Infrastructure de stratégie d'expéditeur (SPF)
SPF aide à améliorer la délivrabilité des messages et protège la crédibilité des e-mails. Le propriétaire du domaine publie des enregistrements TXT DNS qui identifient les adresses IP des passerelles d'envoi. Ensuite, les passerelles réceptrices effectuent une référence SPF afin de déterminer si l'adresse IP du serveur de messagerie d'envoi est valide dans le périmètre SPF.
Pour se protéger contre le spam et l'usurpation d'e-mail, les entreprises implémentent souvent des contrôles de sécurité qui rejettent les e-mails utilisant leur propre nom de domaine. Les e-mails sont rejetés s'ils ne peuvent pas être authentifiés comme provenant de l'expéditeur présumé. Salesforce est un service à la demande qui consulte les e-mails au nom des clients. Par conséquent, les e-mails légitimes envoyés depuis Salesforce peuvent être bloqués avant de parvenir au destinataire. Pour vous assurer que les e-mails envoyés depuis Salesforce ne sont pas usurpés, vous pouvez implémenter l'authentification par message en utilisant DKIM, SPF ou DMARC. En activant SPF, les administrateurs peuvent s'assurer qu'ils envoient des e-mails à partir d'un e-mail valide. Les administrateurs doivent également activer les fonctionnalités de conformité de la sécurité de la messagerie ou utiliser le relais de messagerie pour que Salesforce achemine le courrier via leurs propres serveurs. Les administrateurs peuvent appliquer des mesures de sécurité pour que Salesforce achemine l'e-mail via leurs propres serveurs. Sender Policy Framework est une fonctionnalité de sécurité supplémentaire, mais n'est pas autonome pour résoudre tous les problèmes de messagerie.
Clés de domaine identifiées Mail (DKIM)
DKIM permet d'ajouter une signature aux e-mails. La signature indique que le courrier a été autorisé par la partie signataire. La signature garantit également que le corps et les en-têtes spécifiques de l'e-mail n'ont pas été compromis pendant le transport.
Authentification des messages basée sur le domaine, rapports et conformité (DMARC)
DMARC est une stratégie de messagerie et un protocole de rapport élaborés sur les protocoles SPF et DKIM. La stratégie DMARC indique au destinataire ce qu'il doit faire si aucun protocole ne réussit. Il peut également permettre au destinataire de faire rapport à l'expéditeur.
Conformité de la sécurité de la messagerie
En tant que fonctionnalité facultative, Salesforce peut modifier le champ De des e-mails envoyés depuis Salesforce pour se conformer à SPF.
ID de l'expéditeur
L'ID d'expéditeur est un protocole obsolète. Utilisez-le uniquement lorsque vous utilisez une version dépréciée de Microsoft Outlook qui l'exige.
Le protocole Sender ID fonctionne de la même façon que SPF. Il vérifie un domaine à partir des en-têtes du message plutôt que du champ De de l'e-mail. Pour livrer le courrier à un destinataire qui nécessite un ID d'expéditeur, activez-le dans la page de configuration Délivrabilité des e-mails Salesforce. L'ID d'expéditeur peut automatiquement remplir le champ Expéditeur de chaque e-mail envoyé depuis Salesforce avec no-reply@salesforce.com. L'activation de l'ID d'expéditeur vous permet d'empêcher l'usurpation et d'empêcher les programmes malveillants. Bien que la plupart des antimalwares et des pare-feux puissants puissent détecter l'usurpation, cette fonctionnalité offre une couche de protection supplémentaire.
Gestion des rebonds
La gestion des rebonds tient votre liste de contacts à jour en marquant les adresses auxquelles Salesforce n'a pas pu livrer. Lorsque la gestion des rebonds est active et qu'un utilisateur envoie un e-mail à une adresse non valide, Salesforce affiche une alerte en regard de cette adresse e-mail. Vous ne pouvez pas envoyer d'e-mails à ces adresses tant qu'elles ne sont pas mises à jour. Vous pouvez également envoyer une notification de rebond à l'expéditeur. Cette option s'applique à tous les utilisateurs de l'organisation et ne peut pas être activée par utilisateur ou par e-mail.
Envoi direct depuis Salesforce
Vous pouvez envoyer des e-mails directement depuis Salesforce en utilisant votre nom de domaine. Lors de ces envois, tenez compte des options de configuration ci-dessous, selon vos préférences et stratégies de sécurité.
Pour transmettre SPF et ID d'expéditeur, Salesforce peut modifier l'enveloppe de et ajouter un en-tête Expéditeur. Pour éviter de modifier l'enveloppe de, désactivez Conformité de la sécurité de la messagerie et Gestion des rebonds. Pour éviter d'ajouter un en-tête Expéditeur, désactivez ID d'expéditeur. Vous pouvez gérer ces paramètres dans le panneau d'administration.
| Option | Gestion des rebonds (pistes et contacts uniquement) | Enveloppe de | En-tête de | En-tête de l'expéditeur | Statut SPF |
|---|---|---|---|---|---|
| Aucun | Désactivé | user@example.com | user@example.com | Aucun | Transmettre uniquement si l'enregistrement SPF exemple.com contient _spf.salesforce.com |
| Conformité à la sécurité de la messagerie activée | Désactivé | *.bnc.salesforce.com | user@example.com | Aucun | Pass SPF |
| Conformité de sécurité activée et conformité ID d'expéditeur | Désactivé | *.bnc.salesforce.com | user@example.com | noreply@salesforce.com | Pass SPF, Pass SenderId |
| Aucun | Activé | *.bnc.salesforce.com (si contact ou piste) sinon user@exemple.com | user@example.com | Aucun | Pass SPF |
| Conformité à la sécurité de la messagerie activée | Activé | *.bnc.salesforce.com | user@example.com | Aucun | Pass SPF |
| Conformité de sécurité activée et conformité ID d'expéditeur | Activé | *.bnc.salesforce.com | user@example.com | noreply@salesforce.com | Pass SPF, Pass SenderId |
SPF vérifie que le domaine Envelope From autorise l'adresse IP d'envoi à envoyer un e-mail pour le domaine spécifié. Ces informations sont stockées dans des enregistrements DNS TXT. SPF est transmis tant que les informations sont à un domaine Salesforce valide.
DKIM Signing
Salesforce prend en charge la possibilité pour les utilisateurs de créer des clés DKIM. Les clés DKIM signent les messages envoyés depuis Salesforce.
Les clés DKIM génèrent deux paires de clés publiques/privées et ajoutent les valeurs au DNS Salesforce. Deux touches sont requises pour faciliter une rotation. Ces clés fournissent à l'utilisateur des enregistrements CNAME qui sont ajoutés au DNS du domaine. Lorsque les enregistrements CNAME sont présents, activez les clés DKIM dans Salesforce.
DMARC
SPF ou DKIM doit réussir pour utiliser DMARC. Si aucun des deux n'est accepté, le courrier ne peut pas être envoyé via une application Salesforce.
Configuration d'un relais de messagerie
Salesforce prend en charge la possibilité pour les clients de relayer le courrier via leurs serveurs. Le serveur relais envoie ensuite le courrier à Internet. Les avantages du relais de messagerie sont les exigences d'audit, la stratégie interne et la sécurité. Cette action utilise un type de relais serveur à serveur. Pour sécuriser votre relais, nous recommandons une combinaison de ces mesures de sécurité.
- Configurez le relais Salesforce pour utiliser le protocole TLS. Vous pouvez demander au protocole TLS de vérifier le nom d'hôte dans le certificat du destinataire.
- Configurez le MTA destinataire pour vérifier que le certificat et le nom de domaine de l'expéditeur correspondent au certificat présenté.
- Configurez le MTA de réception pour vous assurer que le domaine d'envoi est le domaine de messagerie.
- Configurez le MTA destinataire pour vérifier qu'un en-tête X-SFDC-LK contient l'ID d'organisation.
- Configurez la signature DKIM dans Salesforce.
- Configurez le MTA destinataire pour vérifier que DKIM réussit et que le domaine pour lequel il a été signé est le domaine.
- Configurez l'authentification SMTP, si elle fonctionne avec la MTA.
- Configurez le MTA destinataire pour autoriser uniquement les e-mails envoyés à partir des adresses IP du relais Salesforce et des autres adresses IP dont l'utilisateur attend le courrier. Nous recommandons de ne pas utiliser de listes d'autorisations pour sécuriser votre relais de messagerie. Lorsqu'une organisation déménage ou migre, les adresses IP d'envoi sont différentes. Si vous manquez l'une des adresses IP d'envoi dans votre liste d'autorisations, cela entraînera probablement des problèmes de livraison. Nous suggérons d'utiliser une combinaison des mesures de sécurité ci-dessus.
