DKIM

DKIM (DomainKeys Identified Mail) est une norme d’authentification des e-mails qui permet à un serveur destinataire de confirmer qu’un message a réellement été envoyé par votre domaine et n’a pas été altéré en transit. Votre serveur de messagerie sortant signe chaque message avec une clé privée, et les destinataires vérifient cette signature à l’aide d’une clé publique correspondante publiée dans le DNS de votre domaine.

DKIM est l’un des trois piliers de l’authentification moderne des e-mails, aux côtés de SPF et DMARC. Ensemble, ils déterminent si votre courrier atteint la boîte de réception ou finit dans les spams — et si des attaquants peuvent usurper votre domaine. Cette page explique ce qu’est DKIM, comment il fonctionne, et comment chaque élément s’articule.

Comment fonctionne DKIM

DKIM fonctionne comme une poignée de main « signer à l’envoi, vérifier à la réception » reposant sur la cryptographie à clé publique. Lorsque votre serveur de messagerie envoie un message, il génère une empreinte cryptographique de certains en-têtes (et généralement du corps), chiffre cette empreinte avec une clé privée que seul votre serveur détient, et attache le résultat à l’e-mail sous la forme d’un en-tête DKIM-Signature.

La clé publique correspondante réside dans le DNS de votre domaine sous forme d’enregistrement TXT. Lorsqu’un serveur destinataire accepte le message, il lit l’en-tête DKIM-Signature, recherche la clé publique dans le DNS et l’utilise pour vérifier la signature. Si la signature est valide, le destinataire sait deux choses : le message provient réellement d’un serveur autorisé à signer pour votre domaine, et le contenu signé n’a pas été altéré en chemin. Si quoi que ce soit a été modifié — ou si la clé ne correspond pas — la vérification DKIM échoue.

Comme la clé privée ne quitte jamais votre infrastructure, un usurpateur ne peut pas forger de signature DKIM valide pour votre domaine.

Les éléments de DKIM

DKIM est composé de quelques pièces coordonnées, chacune ayant son propre guide détaillé :

• L’enregistrement DKIM — l’enregistrement DNS TXT qui publie votre clé publique et vos paramètres DKIM afin que les destinataires puissent trouver et vérifier les signatures.
• Le sélecteur DKIM — une courte étiquette qui indique aux destinataires quelle clé rechercher, vous permettant d’utiliser plusieurs clés (pour différents fournisseurs ou rotations de clés) sur un même domaine.
• La signature DKIM — l’en-tête DKIM-Signature apposé sur chaque message sortant, contenant le domaine signataire, le sélecteur et l’empreinte cryptographique elle-même.

Comprendre comment ces trois éléments se connectent rend le reste de la configuration et du dépannage de DKIM bien plus facile.

Comment configurer DKIM

La configuration de DKIM est un processus court et reproductible :

1. Générez une paire de clés dans la console de votre fournisseur de messagerie — la clé privée reste chez le fournisseur, et vous recevez la clé publique à publier.
2. Publiez la clé publique sous forme d’enregistrement TXT dans le DNS à l’adresse selector._domainkey.yourdomain.com. Consultez comment générer un enregistrement DKIM pour les étapes exactes.
3. Activez la signature chez votre fournisseur afin que le courrier sortant soit estampillé de la signature DKIM.
4. Vérifiez que les messages sont signés et validés avant de vous y fier.

En pratique, les clés DKIM sont générées dans la console de votre fournisseur de messagerie — Google Workspace, Microsoft 365 ou votre ESP — plutôt qu’à la main, de sorte que l’essentiel du travail consiste à copier l’enregistrement fourni dans le DNS.

Un enregistrement DKIM publié ressemble à ceci :

selector1._domainkey.example.com  TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDqF...GfMA0=; t=s"

Ici, selector1 est le sélecteur, v=DKIM1 indique qu’il s’agit d’un enregistrement DKIM, k=rsa nomme le type de clé, et p= porte la clé publique encodée en base64.

DKIM, SPF et DMARC ensemble

DKIM ne fonctionne pas de manière isolée. Il complète SPF, qui autorise quels serveurs sont habilités à envoyer du courrier pour votre domaine. SPF vérifie l’adresse IP du serveur connecté par rapport à votre liste publiée ; DKIM vérifie la signature cryptographique du message lui-même. Les deux protègent des choses différentes — la source d’envoi contre l’intégrité du message — et chacun peut réussir ou échouer indépendamment.

DMARC est la couche de politique qui les relie à l’adresse que les destinataires voient réellement. DMARC exige qu’un résultat SPF ou DKIM valide s’aligne avec le domaine From: visible, puis indique aux destinataires ce qu’il faut faire lorsqu’aucun ne s’aligne — livrer, mettre en quarantaine ou rejeter. Cet alignement est ce qui empêche les attaquants de réussir l’authentification sur un domaine qu’ils contrôlent tout en usurpant le vôtre dans la ligne From.

Norme	Ce qu’elle vérifie
SPF	Quels serveurs peuvent envoyer pour votre domaine
DKIM	Le message a été signé par votre domaine et n’a pas été altéré
DMARC	SPF/DKIM s’alignent avec l’adresse From visible, plus la politique d’échec

Comme l’alignement DMARC peut dépendre de SPF, il est important de garder le côté SPF valide. AutoSPF aplatit et maintient votre enregistrement SPF automatiquement afin qu’il reste dans la limite des 10 recherches et continue de passer — ce qui aide l’alignement DKIM et DMARC à rester globalement sain.

Problèmes DKIM courants

DKIM se casse le plus souvent à cause d’un enregistrement DNS manquant ou tronqué, d’une non-correspondance de sélecteur, ou d’un message modifié en transit par un transitaire ou une liste de diffusion. Si vos signatures ne sont pas validées, pourquoi DKIM échoue passe en revue les causes et solutions habituelles. Pour confirmer ce qu’un domaine publie actuellement, utilisez l’outil de recherche DKIM gratuit — il récupère l’enregistrement pour un sélecteur donné et indique si la clé est présente et bien formée.

Foire aux questions

Qu’est-ce que DKIM ?

DKIM (DomainKeys Identified Mail) est une méthode d’authentification des e-mails qui ajoute une signature cryptographique aux messages sortants. Votre serveur de messagerie signe chaque e-mail avec une clé privée, et les serveurs destinataires vérifient cette signature à l’aide d’une clé publique publiée dans votre DNS. Une signature valide prouve que le message provient de votre domaine et n’a pas été altéré en transit.

DKIM est-il obligatoire ?

DKIM n’est pas strictement obligatoire pour envoyer des e-mails, mais il est de fait attendu. Les grands fournisseurs comme Google et Yahoo exigent désormais l’authentification pour les expéditeurs en masse, et DMARC a besoin d’un résultat DKIM (ou SPF) valide et aligné pour protéger votre domaine. Sans DKIM, votre courrier est bien plus susceptible d’être filtré comme spam ou usurpé par des attaquants.

Quelle est la différence entre DKIM, SPF et DMARC ?

SPF autorise quels serveurs peuvent envoyer du courrier pour votre domaine, DKIM signe cryptographiquement chaque message pour prouver qu’il provient de vous sans altération, et DMARC relie les deux à l’adresse From visible et définit une politique en cas d’échec. SPF vérifie la source d’envoi, DKIM vérifie l’intégrité du message, et DMARC impose l’alignement entre les deux.

Comment vérifier si DKIM est correctement configuré ?

Envoyez un message de test à une adresse que vous contrôlez et inspectez les en-têtes pour repérer dkim=pass, ou utilisez un outil de recherche DKIM pour interroger votre clé publiée par sélecteur. L’outil confirme que l’enregistrement existe, qu’il est bien formé et qu’il renvoie une clé publique valide. Notre outil de recherche DKIM gratuit vérifie n’importe quel domaine et sélecteur en quelques secondes.