Les e-mails indésirables ont une caractéristique commune : la quasi-totalité d'entre eux prétendent venir de domaines avec lesquels ils n'ont, en réalité, aucun lien. Une telle usurpation d'identité est rendue triviale par la structure même des échanges par messagerie électronique. Le vénérable protocole SMTP n'a pas été conçu pour offrir une quelconque méthode d'authentification fiable. Ainsi, n'importe qui peut envoyer un courrier en empruntant une identité. Et les « spammeurs » ne s'en privent pas. « Tant que l'on ne sera pas capable de déterminer avec certitude l'origine du courrier, on ne pourra pas marquer une avancée significative en matière de lutte contre le spam » , estime Eric Allman, directeur technique de l'éditeur de messagerie Sendmail.

Les grands acteurs d'internet réfléchissent aux enrichissements à apporter à l'en-tête du protocole SMTP pour garantir l'origine du courrier. Trois propositions semblent devoir s'imposer : Domainkeys, promu par Yahoo ; Caller ID for Email, de Microsoft ; et SPF (Sender Policy Framework), développé par Meng Weng Wong et Mark Lentczner. Toutes trois partagent le même objectif : s'assurer que le serveur qui envoie l'e-mail dépend bien du domaine auquel il prétend être rattaché. Destinées à être mises en oeuvre au niveau des passerelles de courrier, ces trois méthodes adoptent néanmoins différentes approches.

SPF et Caller ID for Email proposent aux responsables informatiques de définir, au sein de leur serveur de noms de domaine (DNS), un enregistrement nouveau, chargé d'indiquer les adresses IP des serveurs autorisés à envoyer du courrier électronique pour leur domaine. Il s'agit de la procédure inverse à la publication de l'enregistrement MX traditionnel, qui permet d'annoncer au reste du monde quels serveurs sont responsables de recueillir le courrier pour tel ou tel nom de domaine. L'avantage de cette approche réside dans sa facilité de mise en oeuvre : il suffit d'ajouter un enregistrement texte aux serveurs DNS existants. L'opération s'effectue rapidement. Mais, malheureusement, des problèmes sont générés lors de la réexpédition de messages ou de l'émission de listes de diffusion gérées à distance par des partenaires.

SPF et Caller ID sont si proches dans leur principe ­ ils ne diffèrent que par le champ qu'ils contrôlent ­ que Microsoft et Meng Weng Wong ont décidé de fusionner leurs spécifications. Cela donnera naissance à un procédé unique d'authentification du courrier par l'adresse IP. Aujourd'hui, plus de six mille serveurs exploitent SPF.

Avec Domainkeys, Yahoo se montre plus ambitieux. Son promoteur propose que chaque courrier sortant d'un serveur SMTP soit signé par celui-ci à l'aide d'une clé privée. La clé publique associée ­ seule à même de vérifier cette signature ­ serait alors stockée sur le serveur DNS du domaine en question. A la réception, la passerelle destinataire pourrait récupére la clé publique et vérifier l'authenticité du courrier.

Cette méthode s'avère plus fiable et plus élégante que les précédentes. Elle ne perturbe pas le courrier redirigé ni les autres listes de diffusion. En revanche, elle exige une intervention au niveau des serveurs SMTP. Ceux-ci devront en outre procéder à des calculs cryptographiques gourmands en ressources.