Décidez quelles preuves sont nécessaires avant de les collecter
Les preuves d’authentification ne constituent pas un ensemble de données uniforme. Un rapport global, un rapport de messages ayant échoué, un échantillon de message complet et un journal des modifications DNS peuvent répondre à différentes questions tout en exposant différentes informations. Les règles de conservation et d'accès doivent suivre l'objectif du diagnostic et les champs réels, plutôt que le nom du dossier dans lequel tout est stocké.
Ce guide propose un workflow de gouvernance, et non un calendrier de conservation légal. Il utilise le mois de mai 2026 DMARC les spécifications de reporting et les contrôles NIST identifiés ont été examinés le 8 novembre 2026. Aucun rapport client, boîte aux lettres ou référentiel de preuves n’a été inspecté. Aucun paramètre de conservation n'a été modifié, aucun échantillon approuvé, aucun fichier partagé ou aucune donnée supprimée.
Construire une carte de terrain par classe de preuves
Pour les rapports agrégés, enregistrez l'origine du rapport, l'intervalle de rapport, le domaine, l'adresse IP du système de messagerie de connexion, le nombre de messages ainsi que les identifiants et résultats d'authentification pertinents. RFC 9990 décrit les données globales au niveau du domaine plutôt que le contenu du message ou les détails de l'utilisateur individuel. Néanmoins, inspectez le schéma réel et toutes les extensions du fournisseur avant d'appliquer cette description à un fichier reçu. Les informations sur les infrastructures et les volumes peuvent toujours mériter un accès restreint aux entreprises. RFC 9990
Rapports d'échec nécessitent une classification distincte. RFC 9991 explique qu'ils peuvent exposer en-têtes de messages et parfois l'intégralité du message, y compris les informations personnelles ou confidentielles. Demander des rapports d'échec est donc une décision distincte en matière de collecte de données, et non un moyen inoffensif de rendre un tableau de bord agrégé plus détaillé. Confirmez la nécessité, la portée et les destinataires avant de les activer ou de les transférer. RFC 9991
Les échantillons de messages complets peuvent contenir des adresses, des lignes d’objet, un historique de routage, des pièces jointes, des identifiants de suivi et du contenu sans rapport avec l’enquête. Les observations DNS répondent généralement à une question de configuration, tandis que les journaux d'application peuvent connecter cette configuration à un service ou un utilisateur réel. Mappez ces catégories séparément afin que l'accès à un résumé technique à faible contenu n'expose pas automatiquement le message d'origine.
Attachez chaque champ à un objectif et à un propriétaire
Pour chaque classe de preuves, écrivez la question à laquelle elle répond, pourquoi les champs demandés sont nécessaires et qui est responsable de leur utilisation. Une demande de compréhension alignement peut avoir besoin de domaines et de résultats d'authentification approuvés, et non d'un corps de message. Un incident différent peut nécessiter un échantillon original restreint. Aucun des deux cas ne justifie la collecte par défaut de tous les champs disponibles.
Spécifiez l'emplacement de stockage approuvé, les lecteurs autorisés, les droits d'exportation et le déclencheur de rétention. Distinguez l'enquêteur capable d'inspecter un échantillon restreint d'un propriétaire de service qui n'a besoin que d'une conclusion. Un ticket contenant une pièce jointe sans restriction peut affaiblir les contrôles sur le référentiel d'origine. La carte de champ doit donc inclure des copies et des résumés dérivés.
NIST SP 800-53 Rev. 5 AC-6 fournit le principe du moindre privilège, tandis que SI-12 aborde la gestion des informations tout au long de son cycle de vie. Ils soutiennent une définition délibérée de l’accès et de la rétention ; ils ne prescrivent pas un nombre universel de jours pour le matériel DMARC . Le PDF cité est l'édition mise à jour de décembre 2020, avec la version ultérieure 5.2.0 identifiée sur la page de publication. Contrôles de sécurité et de confidentialité NIST
Expurger sans exagérer ce que prouve l’échantillon
Créez un échantillon dérivé uniquement lorsque son public et son objectif sont approuvés. Conservez un enregistrement explicite des champs supprimés ou remplacés. Les espaces réservés stables peuvent préserver les relations entre les domaines ou les adresses sans exposer les valeurs d'origine, mais une telle transformation peut modifier ce qui peut être vérifié à partir de l'échantillon.
Par exemple, la modification d'un en-tête ou d'un corps signé peut invalider le Signature DKIM. Un message expurgé peut toujours illustrer les résultats d'un analyseur, mais il ne peut pas prouver automatiquement le résultat de la vérification cryptographique d'origine. Lorsque la vérification est importante, demandez à un analyste agréé d'inspecter l'original protégé et de joindre une conclusion délimitée avec la provenance. RFC 6376
Le hachage d'un fichier peut aider à détecter des modifications ultérieures ; cela ne prouve pas que les données étaient véridiques, collectées avec autorisation ou distribuées en toute sécurité. De même, remplacer une adresse par un hash n’est pas une garantie générale d’anonymat. Déterminez si les champs contextuels ou un petit ensemble de valeurs possibles permettent à quelqu'un de déduire les informations d'origine.
Choisissez la conservation par valeur probante et obligation
Séparez les entrées brutes, les champs analysés, les extraits d’enquête et les enregistrements de décision. Il n’est pas nécessaire qu’ils aient des durées de vie identiques. RFC 9990 laisse les choix de stockage après traitement à l'évaluateur de rapport ; il n'impose pas de durée de conservation fixe. Une décision de rétention locale doit expliquer quelle valeur continue reste après l'extraction et quelles obligations organisationnelles s'appliquent. RFC 9990
Pour les enregistrements d'audit et de décision, NIST AU-11 utilise une période définie par l'organisation et conforme aux exigences de conservation applicables. Demandez aux responsables des dossiers, de la confidentialité ou de la fonction juridique de résoudre toute obligation ou conservation pertinente. N'utilisez pas cet article pour effacer du matériel faisant l'objet d'un incident ou d'une décision légale de conservation. Contrôle de rétention des audits NIST
Définissez quand le délai de conservation commence, qui peut le prolonger, comment les exceptions sont examinées et comment la suppression est attestée. Tenez compte des sauvegardes, des exportations et des copies des fournisseurs plutôt que de réclamer un effacement immédiat à partir d'une seule action du tableau de bord. Une demande de révision du planning n’autorise pas la suppression ou la purge définitive.
Transferts de contrôle et traitements automatisés
Avant de partager des preuves en externe, approuvez les champs ou échantillons spécifiques, la destination nommée, l'objectif et la portée de l'accès. L'autorisation DNS pour une destination de reporting DMARC externe est un mécanisme protocolaire et ne remplace pas la décision de l'organisation concernant le traitement et la divulgation. Examinez les deux indépendamment. RFC 9990
Traitez les rapports reçus comme des entrées non fiables. RFC 9990 identifie le contenu de rapport malveillant et les données de rapport falsifiées comme des risques. Les limites d'analyse et les contrôles de provenance doivent être évalués dans l'implémentation réelle, et non supposés parce qu'un fichier est XML. Un agent d'analyse ne doit recevoir que le sous-ensemble approuvé et aucune autorisation indépendante pour l'exporter ou modifier l'accès au référentiel.
Un exercice fictif de cartographie de terrain pourrait conserver les observations d'alignement au niveau du domaine dans une vue d'analyste tout en conservant un message original nécessaire dans un magasin d'incidents restreint séparément. Ses valeurs de rétention restent indécises jusqu'à ce que le propriétaire responsable les approuve. L'exercice est un exemple de conception, et non un échantillon approuvé ou une preuve qu'un processus de suppression fonctionne.
Preuve originale requise : une carte des champs de données et un échantillon de preuves minimal approuvé avec une décision de conservation explicite. La carte de terrain dans ce projet est proposée, l'approbation et l'échantillon sont absents et la porte de mise en service reste ouverte.