Générateur d’enregistrement DKIM

Qu’est-ce que DKIM et comment ça fonctionne ?

DKIM (DomainKeys Identified Mail) est une méthode d’authentification e-mail qui permet à l’expéditeur de signer cryptographiquement chaque message sortant. Le serveur de messagerie destinataire vérifie cette signature à l’aide d’une clé publique publiée dans le DNS de l’expéditeur. Une signature DKIM valide prouve deux choses : le message provient bien du domaine indiqué, et il n’a pas été modifié en transit.

Contrairement à SPF, qui vérifie l’IP d’envoi par rapport à une liste autorisée, DKIM attache une signature numérique au message lui-même. Ainsi, la vérification DKIM survit au transfert de courrier, là où SPF échoue souvent parce que l’IP du serveur de transfert n’est pas dans l’enregistrement SPF d’origine.

Comprendre le format d’enregistrement DNS DKIM

Un enregistrement DKIM est un enregistrement DNS TXT publié sur un sous-domaine spécifique : selector._domainkey.yourdomain.com. Le sélecteur est une étiquette que vous choisissez — valeurs courantes : mail, google, s1 ou default. La valeur commence par v=DKIM1; k=rsa; p= suivi de votre clé publique encodée en base64.

La clé privée reste secrète sur votre serveur de messagerie ou est gérée par votre fournisseur d’e-mail. La clé publique est ce que vous publiez dans le DNS. Les serveurs destinataires utilisent la clé publique pour vérifier les signatures créées par la clé privée — le schéma classique de cryptographie à clé publique.

Où trouver votre clé publique DKIM

Votre clé publique DKIM est générée par votre fournisseur de messagerie lorsque vous activez la signature DKIM. Voici où la trouver chez les principaux fournisseurs :

• Google Workspace : console d’administration → Applications → Google Workspace → Gmail → Authentifier l’e-mail. Générez une nouvelle clé et copiez la valeur de l’enregistrement TXT.
• Microsoft 365 : centre d’administration Exchange → Protection → DKIM. Activez DKIM pour votre domaine et copiez les enregistrements CNAME (Microsoft utilise des CNAME, pas des TXT directs).
• Mailchimp : Compte → Domaines → Vérifier un domaine. Mailchimp fournit la valeur de l’enregistrement TXT DKIM à ajouter à votre DNS.
• SendGrid : Settings → Sender Authentication → Domain Authentication. SendGrid génère l’enregistrement TXT DKIM complet pour vous.
• Auto-hébergé (Postfix, Exim) : utilisez opendkim-genkey pour générer une paire de clés. Le fichier de clé publique contient la valeur de l’enregistrement TXT.

Bonnes pratiques DKIM

Utilisez une longueur de clé de 2048 bits si possible — les clés 1024 bits sont considérées comme faibles et peuvent être signalées par certains systèmes de messagerie. Faites tourner vos clés DKIM périodiquement (au moins une fois par an) pour limiter l’exposition en cas de compromission. Conservez l’ancienne clé dans le DNS quelques jours après la rotation pour permettre la vérification des messages en transit.

DKIM seul ne protège pas l’en-tête From visible. Pour compléter l’authentification e-mail, ajoutez une politique DMARC qui aligne les résultats DKIM avec le domaine From. Une liste propre compte aussi — même le courrier authentifié atterrit en spam s’il rebondit de façon répétée. Utilisez la vérification d’e-mail pour supprimer les adresses invalides, ou vérifiez de grandes listes avec la vérification d’e-mail en masse.