Boîte à outils antispam de l’OCDE (2006)

L’Anti-Spam Toolkit of Recommended Policies and Measures (boîte à outils antispam de politiques et mesures recommandées) a été produit par le groupe de travail de l’OCDE sur le spam (OECD Task Force on Spam, créé avec l’approbation du Conseil de l’OCDE en 2004 ; mandat achevé en juin 2006). La boîte à outils a été déclassifiée le 29 mars 2006 par les comités ICCP et CCP ; la Council Recommendation on Cross-Border Co-operation in the Enforcement of Laws Against Spam (recommandation du Conseil sur la coopération transfrontière dans l’application des lois contre le spam) qui l’accompagne a été adoptée par le Conseil de l’OCDE le 13 avril 2006. L’OCDE comptait alors 30 pays membres ; la recommandation invite aussi les économies non membres à en tenir compte.

La boîte à outils est ce qui se rapproche le plus d’une architecture de référence convenue à l’échelle internationale pour les politiques nationales de lutte contre le spam. C’est un cadre de politique et d’application des lois : elle n’impose en elle-même aucune obligation aux expéditeurs, et elle intègre explicitement en annexe deux documents de meilleures pratiques du secteur (BIAC/MAAWG pour les fournisseurs d’accès ; BIAC pour les professionnels du marketing par email).

Mise en garde sur l’âge du document : ce qui tient toujours, ce qui est daté

La boîte à outils est antérieure à la maturité de SPF, DKIM et DMARC, aux obligations de 2024 de Gmail et Yahoo pour les expéditeurs de gros volumes, à la messagerie pensée d’abord pour le mobile et aux systèmes de réputation modernes. Ses sections techniques (élément IV) citent SPF, « DKIM/META », Sender-ID, la liste grise, BATV/SES et les contrôles PTR : intéressant d’un point de vue historique, mais dépassé par les articles dédiés de cette base de connaissances. Ce qui reste directement utile aujourd’hui, c’est la charpente de politique et d’application transfrontière des lois : la liste de contrôle de conception législative, la typologie du consentement, le raisonnement sur « qui est responsable », le modèle de coopération entre autorités, et les listes de meilleures pratiques pour les fournisseurs d’accès et les expéditeurs (que les documents du M3AAWG ont ensuite développées). Lisez cet article pour le cadre ; lisez les articles détaillés liés pour la pratique technique actuelle.

Les huit éléments

La boîte à outils s’organise autour de huit éléments interdépendants d’un cadre de politique publique complet :

Élément I : conception de la réglementation

La législation doit viser à préserver les avantages des communications électroniques, à interdire et sanctionner le spam tel que le définit le droit national (la valeur d’une législation dépend de la certitude que les sanctions seront appliquées), et à réduire la quantité de spam en ciblant différentes étapes de l’envoi.

Quatre principes législatifs généraux :

• Orientation politique : définir tôt les principaux objectifs ; ils doivent sous-tendre toute la stratégie.
• Simplicité réglementaire : la législation doit être courte et simple.
• Efficacité de l’application : l’associer à un régime de sanctions efficace, à des normes de preuve appropriées et à des autorités dotées de moyens. Une mauvaise application rend inutile une bonne législation.
• Liens internationaux : parce que le spam est transfrontière, prévoir la coopération et l’échange d’informations avec les autorités étrangères.

Liste de contrôle des meilleures pratiques législatives

Le tableau de l’élément réglementaire de la boîte à outils, une liste de contrôle utile pour toute juridiction qui rédige ou compare une loi antispam :

Cette liste de contrôle correspond aux régimes nationaux concrets traités ailleurs dans cette base de connaissances : CAN-SPAM (États-Unis) (modèle d’opt-out, consentement présumé), LCAP (CASL, Canada) et PECR (Royaume-Uni) (consentement exprès, opt-in), directive ePrivacy et RGPD (UE), et le Spam Act australien.

Élément II : application des lois et recommandation du Conseil

La Recommendation on Cross-Border Co-operation in the Enforcement of Laws Against Spam (annexe I) est le cœur de la boîte à outils, contraignant dans son esprit. Elle ne couvre que les violations graves : les comportements qui (a) causent ou peuvent causer un préjudice (financier ou autre) à un nombre important de destinataires, (b) touchent un nombre particulièrement élevé de destinataires, ou (c) causent un préjudice substantiel. La décision d’apporter son aide appartient toujours à l’autorité chargée de l’application des lois contre le spam (Spam Enforcement Authority) qui reçoit la demande.

Les gouvernements devraient améliorer leur législation afin :

1. D’établir un cadre national de lois, d’autorités chargées de leur application et de pratiques.
2. D’améliorer la capacité de coopération des autorités avec leurs homologues étrangers (partager des informations, apporter une assistance aux enquêtes).
3. D’améliorer les procédures de coopération : hiérarchiser les demandes, utiliser des ressources et des réseaux communs.
4. De développer des modèles de coopération entre les autorités chargées de l’application des lois et les entités du secteur privé.

Les quatre parties opérationnelles de la recommandation :

L’OCDE a chargé ses comités ICCP et CCP de suivre les progrès dans un délai de trois ans. Ce modèle (points de contact désignés, assistance mutuelle hiérarchisée, partage de données avec le secteur privé) est l’ancêtre des canaux pratiques d’escalade et de transmission décrits dans Cross-Provider Escalation & Mitigation Channels et de la réception des signalements d’abus décrite dans Abuse Desk.

Élément III : initiatives du secteur

La loi antispam doit être associée à l’autorégulation du secteur privé. Le groupe de travail a salué le travail de BIAC et du MAAWG sur les meilleures pratiques et a noté que, dans certaines juridictions, de tels codes pourraient être officiellement enregistrés auprès de l’agence nationale chargée de l’application des lois, ce qui permettrait à l’autorité d’imposer leur respect si l’association professionnelle n’y parvient pas.

Les acteurs et leurs obligations :

• Fournisseurs de services ou de biens en ligne : respecter la vie privée des clients ; adopter des politiques claires d’entreprise en matière d’email (par exemple ne jamais demander d’informations personnelles ou, idéalement, ne jamais insérer de lien cliquable dans un email, avec une application cohérente) ; authentifier les emails ou utiliser des signatures numériques ; prévenir le phishing par des noms de domaine clairs et l’enregistrement défensif de domaines, la surveillance des sites ressemblants et le contrôle des messages de rebond ; informer les clients sur les emails que l’entreprise enverra ou n’enverra pas.
• Professionnels du marketing direct : adopter et appliquer un code de conduite du marketing électronique ; nouer des relations plus étroites avec les fournisseurs d’accès pour réduire les faux positifs ; aligner les codes sur la législation antispam aux niveaux national et international.
• Fournisseurs d’accès et opérateurs de réseaux : pratiquer l’autorégulation ; adopter et faire respecter des politiques d’utilisation acceptable (AUP) en tant que clauses contractuelles dont la violation permet la suspension ou la résiliation ; informer les abonnés sur le filtrage antispam et antivirus.

Meilleures pratiques BIAC/MAAWG pour les fournisseurs d’accès et les opérateurs de réseaux (annexe II)

« Fournisseurs d’accès et opérateurs de réseaux » = toute entité exploitant un serveur SMTP connecté à Internet. Chaque pratique ne s’applique que si le droit national ne la contredit pas :

Ce sont les précurseurs directs du M3AAWG Senders BCP et des contrôles opérationnels de Sending Infrastructure Practices ; l’hygiène des comptes de rôle et du WHOIS est développée dans Abuse Desk, et les attentes sur les PTR dans IPv6 Reverse DNS.

Meilleures pratiques BIAC pour le marketing par email (annexe III)

Un code volontaire pour les professionnels du marketing ; lorsque le droit national est plus strict, c’est la loi qui prévaut. Neuf recommandations plus des conseils techniques :

Conseils techniques pour les professionnels du marketing électronique (annexe III) :

• Tous les serveurs (entrants, sortants, sites web) doivent avoir des entrées de DNS inverse (PTR) ; les résolutions directe et inverse doivent correspondre ; les machines d’envoi doivent s’annoncer en HELO/EHLO avec ce nom.
• Publier des enregistrements SPF et/ou domain-key (prédécesseur de DKIM) pour les expéditeurs et les sites tiers associés à un envoi ; les tenir à jour.
• Attribuer aux serveurs de messagerie sortants des adresses IP distinctes de celles des autres serveurs du site.
• Tenir les enregistrements WHOIS exacts et complets.
• Maintenir les comptes de rôle (postmaster@, abuse@) fonctionnels et activement surveillés pour tous les domaines d’expéditeur, y compris les sites cités dans le contenu.

Gestion des rebonds (annexe III) :

Comparez avec le traitement moderne, propre à chaque fournisseur, décrit dans Enhanced Status Codes, Hygiène de base de données et politiques de mise en sommeil et Suppression-List Architecture.

Éléments IV à VIII (en bref)

• IV Mesures techniques : aucun outil ne suffit à lui seul ; la superposition des couches (origine, réseau fédérateur, passerelle, destinataire) réduit considérablement le spam. Dépassé par les articles de cette base de connaissances sur l’authentification, la sécurité du transport et le filtrage.
• V Éducation et sensibilisation : les gouvernements mènent des campagnes publiques ; les fournisseurs d’accès utilisent leurs canaux clients (site web, portail, SMS, newsletters) pour expliquer comment éviter le spam, quels filtres existent, comment signaler un abus, et le contact du service abus. « L’éducation des destinataires est aussi importante que celle des expéditeurs. »
• VI Partenariats de coopération : la stratégie antispam doit être élaborée en partenariat public-privé ; les fournisseurs d’accès et les autorités chargées de l’application des lois doivent rester en contact pour signaler les cas de spam et partager des données réseau.
• VII Mesure du spam : mesurer pour évaluer les stratégies nationales ; le groupe de travail a salué et encouragé l’Email Metrics Program du MAAWG.
• VIII Coopération mondiale (ouverture) : mettre la boîte à outils et les meilleures pratiques à la disposition des économies non membres de l’OCDE ; promouvoir l’action antispam à l’étranger par des accords bilatéraux et multilatéraux. Un site compagnon (historiquement www.oecd-antispam.org) hébergeait des informations à jour sur les lois nationales contre le spam et la liste des points de contact nationaux chargés de l’application des lois.

Pourquoi c’est toujours important pour exploiter un ESP

La boîte à outils est la référence vers laquelle se tourne un opérateur quand une question est juridictionnelle ou transfrontière plutôt que technique : quel modèle législatif suit un pays cible, comment les autorités chargées de l’application des lois coopèrent au-delà des frontières, à quoi ressemblent en termes de politique la politique d’utilisation acceptable et les obligations d’un fournisseur d’accès en matière d’abus, et comment les meilleures pratiques des expéditeurs et des professionnels du marketing ont été codifiées avant que le M3AAWG ne les formalise. Pour la délivrabilité au quotidien, ce sont les exigences précises des fournisseurs et les normes d’authentification présentées ailleurs dans cette base de connaissances qui s’appliquent ; le cadre de l’OCDE régit la couche juridique et interinstitutionnelle qui les entoure.