Qu'est-ce que DKIM ? DomainKeys Identified Mail expliqué

Comment fonctionne DKIM

Votre serveur de messagerie signe chaque message sortant avec une clé privée. La signature est ajoutée sous forme d'en-tête DKIM-Signature. Le serveur destinataire récupère la clé publique de votre domaine dans le DNS (publiée comme enregistrement TXT) et vérifie que la signature correspond.

1. Votre serveur de messagerie génère une paire de clés publique/privée
2. La clé publique est publiée comme enregistrement TXT sur un sélecteur, par exemple selector1._domainkey.votredomaine.com
3. Chaque e-mail sortant est signé avec la clé privée, ce qui ajoute un en-tête DKIM-Signature
4. Le serveur destinataire récupère votre clé publique dans le DNS à l'aide du sélecteur indiqué dans l'en-tête
5. Il recalcule la signature et compare — une correspondance signifie que l'e-mail est authentique et non modifié

Enregistrement DNS DKIM

L'enregistrement se trouve sur un nom d'hôte propre au sélecteur, pas à la racine du domaine :

selector1._domainkey.yourdomain.com.  TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGS..."

Balises d'un enregistrement DKIM

Qu'est-ce qu'un « sélecteur » ?

Le sélecteur permet à un domaine de publier plusieurs clés DKIM en même temps — pratique lors d'une rotation de clés ou avec plusieurs fournisseurs de messagerie. Chaque fournisseur vous indique le sélecteur à utiliser (exemples courants : google, selector1, k1, mandrill).

Configurer DKIM

1. Activez la signature DKIM chez votre fournisseur de messagerie (Google Workspace, Microsoft 365, SendGrid, etc.) — il génère la paire de clés pour vous
2. Copiez l'enregistrement TXT et le nom d'hôte du sélecteur qu'il vous fournit
3. Ajoutez l'enregistrement TXT à votre DNS
4. Attendez la propagation, puis vérifiez auprès du fournisseur ou via une recherche DKIM

Pourquoi SPF, DKIM et DMARC sont nécessaires ensemble

Chacun couvre une lacune différente :

• SPF autorise les serveurs pouvant envoyer — mais casse lorsque l'e-mail est transféré
• DKIM prouve que le contenu du message n'a pas été altéré — survit au transfert, mais ne dit pas à lui seul qui est autorisé à envoyer
• DMARC relie les deux, indique aux destinataires quoi faire lorsque les deux échouent, et vous donne de la visibilité via les rapports

Problèmes fréquents

• La signature casse après un transfert par une liste de diffusion — certains logiciels de liste réécrivent le corps ou l'objet, ce qui invalide la signature. C'est attendu, et c'est précisément pourquoi l'alignement DMARC accepte que SPF OU DKIM passe, pas les deux.
• Clé trop longue pour une seule chaîne TXT — les clés de 2048 bits doivent souvent être réparties sur plusieurs chaînes entre guillemets dans le même enregistrement TXT ; la plupart des fournisseurs DNS le gèrent automatiquement.
• Mauvais sélecteur — si le sélecteur présent dans votre DNS ne correspond pas à celui utilisé par votre fournisseur pour signer, la vérification échoue silencieusement.

Vérifiez votre configuration DKIM

Utilisez le vérificateur de sécurité e-mail pour contrôler SPF, DKIM et DMARC ensemble :