SMTP : Simple Mail Transfer Protocol
Réseau
SMTP : Simple Mail Transfer Protocol, le protocole qui achemine le courrier électronique d'un serveur à l'autre. « Le facteur d'Internet, qui livre tout ce qu'on lui confie sans jamais demander à l'expéditeur ses papiers », par analogie avec la boîte aux lettres jaune, où n'importe qui peut poster une lettre signée du nom de n'importe qui.
Origine : Décrit en 1982 dans la RFC 821, aujourd'hui remplacée par la RFC 5321 (2008). Le protocole date d'une époque où les quelques machines du réseau se connaissaient toutes, ce qui explique qu'il n'ait rien prévu pour vérifier l'identité de l'expéditeur : on ne se méfie pas de ses voisins de palier, jusqu'au jour où l'immeuble compte quelques milliards d'habitants.
Ports : Le port 25 sert à l'échange entre serveurs de messagerie. Les logiciels de courrier des utilisateurs déposent leurs messages sur le port 587 (soumission, avec authentification) ou 465 (soumission chiffrée d'emblée par TLS).
Sécurité ajoutée après coup : Le chiffrement entre serveurs passe par l'extension STARTTLS, souvent facultative ; l'authenticité de l'expéditeur repose sur SPF, DKIM et DMARC, publiés dans le DNS. Rien de tout cela n'est imposé par SMTP lui-même, qui continue de livrer poliment ce qu'on lui tend.
Identifiants stockés : Imprimantes, scanners et applications métier conservent souvent un compte SMTP pour envoyer des alertes. Si leur page de configuration permet de changer l'adresse du serveur, un attaquant y met la sienne, déclenche un test d'envoi et reçoit le mot de passe enregistré, livré par l'appareil lui-même.
Ce qui arrive si on s'en passe
Sans STARTTLS imposé ni authentification de l'expéditeur, un message SMTP circule lisible et peut porter le nom du président-directeur général sans que personne ne l'ait écrit : l'hameçonnage n'a même pas à se déguiser. Et une page d'administration mal protégée, qui garde un mot de passe SMTP et laisse modifier l'adresse du serveur, offre à l'attaquant un compte valide en échange d'un clic sur « Tester ». L'appareil, consciencieux, envoie ses identifiants à qui le lui demande.
Explication de la marmotte
Quand un courriel part, il passe d'ordinateur en ordinateur jusqu'à la boîte du destinataire, et ces ordinateurs se parlent avec une langue commune appelée SMTP. Cette langue a été inventée il y a plus de quarante ans et ne vérifie pas qui envoie vraiment le message. On a donc ajouté depuis des protections à côté, pour chiffrer le trajet et prouver l'expéditeur. Il faut aussi protéger les appareils qui gardent un mot de passe d'envoi, car on peut les tromper pour qu'ils le révèlent.
Où ce terme est utilisé
- STARTTLS : attaque par retrait, MTA-STS et TLS implicite (8 occurrences)
- Déployer SPF DKIM DMARC jusqu'à reject (5 occurrences)
- Services applicatifs, partage et protocoles hérités (5 occurrences)
- Déployer DMARC de observation à reject (4 occurrences)
- Attaque de l'intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLS (2 occurrences)
- DLP prévention des pertes de données : détection et limites (2 occurrences)
- DNSSEC : chaîne de confiance, validation et exploitation des clés (2 occurrences)
- Migrer TLS legacy sans casser les clients anciens (2 occurrences)
- Sécuriser un canal: TLS, HTTPS et mTLS (2 occurrences)
- Couches, normes et vocabulaire de paquets (1 occurrence)