Comment générer un enregistrement DKIM
Vous n'écrivez pas les clés DKIM à la main - votre fournisseur de messagerie génère la paire de clés publique/privée lorsque vous activez DKIM. Vous publiez la clé publique qu'il vous donne sous forme d'enregistrement TXT au sélecteur choisi par le fournisseur, puis vous vérifiez qu'elle se résout.
Ce guide fait partie de notre guide complet sur DKIM. Voir aussi : l’enregistrement DKIM et le sélecteur DKIM.
Vous n’écrivez pas les clés DKIM à la main — votre fournisseur de messagerie génère la paire de clés publique/privée pour vous. Vous publiez ensuite la clé publique dans le DNS sous forme d’enregistrement TXT à l’hôte de sélecteur que votre fournisseur choisit, et le fournisseur conserve la clé privée pour signer votre courrier sortant. Cette simple boucle de publication et de vérification résume tout ce que « générer un enregistrement DKIM » signifie réellement.
Pourquoi vous générez DKIM chez votre fournisseur, et non à la main
DKIM fonctionne avec une paire assortie de clés cryptographiques. La clé privée reste à l’intérieur de votre plateforme d’envoi et signe chaque message sortant ; la clé publique va dans le DNS afin que les serveurs destinataires puissent vérifier cette signature. Comme la clé privée doit résider en toute sécurité à l’intérieur du système qui envoie réellement votre courrier, votre fournisseur est le seul endroit capable de générer correctement la paire. Il crée les deux clés, stocke la moitié privée là où son moteur de signature peut y accéder, et vous remet la moitié publique à publier.
C’est pourquoi il n’y a pas de véritable étape de « générateur DKIM » que vous réalisez vous-même. Activer DKIM dans votre console effectue la génération ; vous n’avez qu’à publier le résultat. Les utilisateurs avancés qui exploitent leur propre serveur de messagerie peuvent générer une paire de clés manuellement avec openssl (par exemple openssl genrsa plus un export de clé publique correspondant), mais à moins que vous n’exploitiez votre propre MTA, tenez-vous-en à la voie du fournisseur — c’est plus rapide, moins sujet aux erreurs, et cela garde la clé privée là où elle doit être.
Étape par étape : générer et publier DKIM
- Activez DKIM (authentification des e-mails) dans la console de votre fournisseur. Recherchez un paramètre « DKIM », « authentification des e-mails » ou « authentification de domaine » pour votre domaine d’envoi. L’activer déclenche la génération des clés.
- Lisez la sortie : une clé publique plus un hôte de sélecteur. Le fournisseur vous donne une clé publique et le nom d’hôte exact (le sélecteur, comme
s1._domainkey.yourdomain.com) où elle doit être publiée. - Publiez l’enregistrement TXT dans votre DNS. Ajoutez un enregistrement TXT (ou parfois CNAME) à cet hôte de sélecteur avec la valeur fournie par votre fournisseur. Consultez l’enregistrement DKIM pour le format exact, les tags et la structure de la valeur.
- Vérifiez avec l’outil de recherche DKIM gratuit. Saisissez votre domaine et votre sélecteur pour confirmer que la clé publique est active et lisible dans le DNS. Les modifications DNS peuvent mettre un peu de temps à se propager, alors revérifiez si elle n’est pas trouvée immédiatement.
- Confirmez que le courrier est signé. Envoyez un message de test et inspectez les en-têtes (ou le tableau de bord de votre fournisseur) pour repérer un en-tête
DKIM-Signatureet un résultatdkim=pass. Cela confirme que la clé privée signe et que la clé publique vérifie.
Où générer DKIM chez les fournisseurs courants
| Fournisseur | Où générer DKIM |
|---|---|
| Google Workspace | Console d’administration > Applications > Google Workspace > Gmail > Authentifier les e-mails |
| Microsoft 365 | Portail Microsoft Defender > E-mail et collaboration > Stratégies > Paramètres d’authentification des e-mails > DKIM |
| ESP (SendGrid, Mailchimp, etc.) | Fourni automatiquement lors de l’« authentification de domaine » — la plateforme génère les clés et vous donne les enregistrements à publier |
Pour Google Workspace et Microsoft 365, vous générez la clé, puis publiez l’enregistrement qu’ils affichent. Pour la plupart des ESP, l’authentification de domaine regroupe DKIM (souvent aux côtés de SPF et d’un domaine de suivi), il vous suffit donc d’ajouter les enregistrements qu’ils listent.
Longueur de clé : 1024 vs 2048
Lorsque votre fournisseur offre un choix, optez pour des clés 2048 bits. Elles sont nettement plus robustes que les clés 1024 bits et sont désormais la valeur par défaut recommandée dans l’industrie. Le seul bémol est qu’une clé publique 2048 bits est plus longue qu’une clé 1024 bits, et certaines interfaces DNS anciennes peinent avec les enregistrements TXT de plus de 255 caractères — elles peuvent nécessiter que la valeur soit divisée en plusieurs chaînes entre guillemets. La plupart des hébergeurs DNS modernes gèrent cela automatiquement. Si votre fournisseur ne propose que du 1024 bits, cela fonctionne quand même, mais passez au 2048 bits dès que possible.
Gardez-le en bonne santé
DKIM n’est pas à configurer une fois pour toutes. Renouvelez vos clés périodiquement — de nombreux fournisseurs effectuent désormais la rotation automatiquement — afin qu’une seule clé compromise ne puisse pas être exploitée indéfiniment. Et rappelez-vous que DKIM n’est qu’un maillon d’une pile en trois parties : un enregistrement SPF valide, DKIM et DMARC fonctionnent ensemble pour prouver que votre courrier est légitime. Si un maillon est cassé, la délivrabilité en souffre.
Côté SPF, surveillez la limite des 10 recherches qui fait échouer SPF silencieusement dès que votre enregistrement référence trop de services. AutoSPF aplatit et maintient votre enregistrement SPF afin qu’il reste automatiquement sous cette limite, vous permettant de garder DKIM et DMARC concentrés sur le côté signature et politique sans que SPF ne se casse discrètement en dessous.
Foire aux questions
Comment générer un enregistrement DKIM ?
Vous générez un enregistrement DKIM en activant DKIM ou l’authentification des e-mails dans la console de votre fournisseur de messagerie. Le fournisseur crée la paire de clés et vous donne une clé publique plus un hôte de sélecteur. Vous publiez ensuite cette clé publique sous forme d’enregistrement TXT dans votre DNS et la vérifiez, ce qui achève la configuration.
Ai-je besoin d’un outil générateur DKIM ?
Généralement non. Votre fournisseur de messagerie génère la paire de clés pour vous lorsque vous activez DKIM, donc un générateur autonome est redondant et peut même être risqué s’il expose la clé privée. Seuls les serveurs de messagerie auto-hébergés ont besoin d’une génération manuelle, généralement avec openssl. Pour tous les autres, la console du fournisseur est la voie correcte et la plus sûre.
Quelle longueur de clé dois-je utiliser pour DKIM ?
Utilisez des clés 2048 bits chaque fois que votre fournisseur offre le choix, car elles sont plus robustes que les clés 1024 bits et constituent la recommandation actuelle de l’industrie. Le seul inconvénient est une valeur DNS plus longue que certaines interfaces DNS anciennes peuvent avoir besoin de diviser en plusieurs chaînes. La plupart des hébergeurs DNS modernes gèrent les enregistrements 2048 bits sans aucune étape supplémentaire.
Où placer l’enregistrement DKIM après l’avoir généré ?
Vous le publiez dans le DNS de votre domaine sous forme d’enregistrement TXT à l’hôte de sélecteur exact que votre fournisseur spécifie, tel que selector._domainkey.yourdomain.com. La valeur de l’enregistrement est la clé publique fournie par votre fournisseur. Après l’avoir ajouté, vérifiez avec un outil de recherche DKIM pour confirmer qu’il est actif et lisible avant de vous y fier.