Comment fonctionnent la signature et la vérification DKIM
DKIM (DomainKeys Identified Mail) permet à votre serveur de messagerie de signer chaque message sortant avec une clé privée. La clé publique correspondante est publiée dans le DNS sous forme d'enregistrement TXT à l'adresse selector._domainkey.votredomaine.com. Les destinataires lisent le sélecteur dans l'en-tête DKIM-Signature, récupèrent la clé publique et vérifient que le corps du message et les en-têtes clés n'ont pas été altérés pendant le transit.
Une signature valide prouve que le message provient bien d'un serveur détenant votre clé privée. Pour que DMARC réussisse via DKIM, le domaine d= de la signature doit être aligné avec le domaine de l'expéditeur affiché. C'est cet alignement qui protège les domaines de cold email contre l'usurpation, et c'est pourquoi Gmail et Microsoft exigent DKIM des expéditeurs en volume.
google._domainkey.yourdomain.com TXT
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...Retrouver votre sélecteur DKIM
Le sélecteur est l'étiquette placée avant _domainkey, et chaque fournisseur choisit la sienne. Google Workspace utilise google par défaut, Microsoft 365 utilise selector1 et selector2, et la plupart des plateformes d'envoi emploient des noms courts comme k1, s1 ou pm. Certains fournisseurs publient l'enregistrement sous forme de CNAME pointant vers leur propre DNS, ce qui ne pose pas de problème puisque les résolveurs le suivent.
En cas de doute, envoyez-vous un message depuis le domaine, ouvrez les en-têtes d'origine et lisez la ligne DKIM-Signature. La valeur après s= est le sélecteur et la valeur après d= est le domaine signataire. Collez ce sélecteur dans l'outil pour une recherche directe plutôt qu'une analyse.
- Google Workspace : sélecteur google, généré dans la console d'administration sous Authentifier les e-mails.
- Microsoft 365 : selector1 et selector2, publiés en CNAME vers onmicrosoft.com.
- Les plateformes d'envoi affichent généralement le sélecteur sur leur page d'authentification de domaine.
- Les sélecteurs peuvent être renouvelés ; revérifiez après l'activation d'une nouvelle clé.
Longueur de clé : pourquoi 1024 bits ne suffit plus
L'outil estime la longueur de la clé à partir de la clé publique en base64. Les clés RSA de 2048 bits sont la recommandation actuelle et correspondent à ce que Google Workspace et Microsoft 365 émettent par défaut. Les anciennes clés de 1024 bits se vérifient encore mais sont considérées comme faibles, et certains fournisseurs refusent de signer avec plus court. Les clés Ed25519 sont une alternative moderne, compacte et robuste, même si tous les destinataires ne les vérifient pas encore : gardez donc un sélecteur RSA en parallèle.
Si vous voyez une clé de 1024 bits, renouvelez-la dans les paramètres DKIM de votre fournisseur, publiez le nouvel enregistrement, attendez la propagation DNS, puis basculez la signature. InboxOne provisionne du DKIM 2048 bits sur chaque boîte Google Workspace qu'il crée, pour que cela n'ait jamais à être fait à la main.
Les marqueurs et balises DKIM qui cassent discrètement l'authentification
Un enregistrement peut être publié sans vous offrir la moindre protection. Le marqueur t=y place la clé en mode test et demande aux destinataires d'ignorer les échecs. Un p= vide révoque entièrement la clé. Restreindre les hachages avec h=sha1 ou les types de service avec un s= qui exclut l'email fera échouer la vérification chez les grands fournisseurs. L'outil signale chacun de ces cas en indiquant la balise exacte à modifier.
- Retirez t=y une fois que vous avez confirmé que les signatures se vérifient.
- Ne laissez jamais p= vide, sauf si vous voulez retirer le sélecteur du service.
- Découpez les clés longues en plusieurs chaînes entre guillemets si votre hébergeur DNS limite les chaînes à 255 caractères.
- N'ajoutez ni saut de ligne ni espace à l'intérieur de la clé base64 au moment de la coller.
