DKIM (DomainKeys Identified Mail) signe cryptographiquement vos emails avec une clé privée ; la clé publique correspondante est publiée en DNS sous la forme selecteur._domainkey.votredomaine.com. Entrez votre domaine et, si vous le connaissez, votre sélecteur pour vérifier que la clé publique est bien accessible et valide.
DKIM (RFC 6376) ajoute un en-tête DKIM-Signature à chaque email envoyé, contenant une signature calculée à partir du contenu du message et d'une clé privée détenue par l'expéditeur. Le serveur receveur récupère la clé publique correspondante en DNS et vérifie que la signature est valide et que le message n'a pas été modifié en chemin.
Contrairement à SPF qui autorise des adresses IP, DKIM authentifie le contenu lui-même : même si le message transite par un relais intermédiaire, la signature reste valide tant que le corps et les en-têtes signés ne sont pas altérés.
Un domaine peut publier plusieurs sélecteurs DKIM simultanément (un par outil d'envoi, ou pour permettre une rotation de clé sans interruption). Le sélecteur utilisé pour un message donné est indiqué dans son en-tête DKIM-Signature (paramètre s=).
Sans connaître le sélecteur exact, impossible de vérifier la clé publique en DNS. Il se trouve dans l'en-tête DKIM-Signature d'un email déjà envoyé (paramètre s=), ou dans la documentation de votre fournisseur d'emailing.
Les clés DKIM de 512 ou 1024 bits sont considérées comme faibles. Utilisez 2048 bits, standard actuel largement supporté.
Une clé DKIM ne devrait pas rester inchangée indéfiniment. En cas de compromission d'un outil d'envoi, une clé jamais renouvelée reste un point de vulnérabilité silencieux.
Pour que DMARC valide un message via DKIM, le domaine de la signature (d=) doit correspondre (ou être un sous-domaine de) celui de l'en-tête From, selon le mode d'alignement choisi (relaxed ou strict).
Ouvrez les en-têtes complets d'un email déjà envoyé par votre domaine et cherchez la ligne DKIM-Signature : le paramètre s= indique le sélecteur exact. Vous pouvez aussi consulter la documentation de votre fournisseur d'envoi (Google Workspace, Microsoft 365, Sendgrid, etc.), qui l'indique généralement.
Non. DKIM authentifie le contenu du message mais, seul, ne protège pas contre l'usurpation de votre domaine dans l'en-tête From par un attaquant qui utiliserait sa propre signature DKIM valide sur un domaine différent. DMARC est nécessaire pour imposer l'alignement.
DKIM signe le contenu exact du message. Si un intermédiaire modifie le sujet, ajoute un pied de page ou reformate le corps — ce que font beaucoup de listes de diffusion — la signature ne correspond plus et la vérification échoue.
2048 bits est recommandé aujourd'hui. Certains fournisseurs proposent encore 1024 bits par défaut ; envisagez de migrer si c'est votre cas.
Un compte Stampcheck gratuit vous donne accès aux 8 outils, à l'audit complet en un seul passage et à l'historique de vos résultats.