DKIM vs DMARC
DKIM est une méthode d'authentification — une signature cryptographique prouvant qu'un message est autorisé et non altéré. DMARC est une couche de politique et de reporting construite par-dessus DKIM (et SPF) : elle vérifie l'alignement avec le domaine From visible et indique aux destinataires quoi faire en cas d'échec. Ce ne sont pas des alternatives.
Ce guide fait partie de notre guide sur l’authentification des e-mails. Voir aussi : SPF vs DKIM et SPF vs DMARC.
DKIM est une méthode d’authentification : une signature cryptographique qui prouve qu’un message a été autorisé par le domaine expéditeur et n’a pas été altéré en transit. DMARC est une couche de politique et de reporting qui utilise les résultats DKIM (et SPF), vérifie s’ils s’alignent avec le domaine From visible, et indique aux destinataires quoi faire lorsqu’un message échoue. Ce ne sont pas des alternatives — DMARC est construit par-dessus DKIM.
Ce que fait DKIM
DKIM (DomainKeys Identified Mail) permet à un serveur expéditeur d’attacher une signature cryptographique à chaque message sortant. Le serveur signe des en-têtes sélectionnés et le corps avec une clé privée, et les destinataires vérifient cette signature par rapport à une clé publique publiée dans le DNS du domaine expéditeur. Si la vérification réussit, le destinataire sait deux choses : le message a été autorisé par un domaine qui contrôle la clé de signature, et le contenu signé n’a pas été modifié entre l’envoi et la remise.
Cette signature voyage dans un en-tête masqué appelé la signature DKIM. Elle indique quel domaine a signé le message, quel sélecteur pointe vers la clé publique, et quels en-têtes ont été couverts. Fait crucial, DKIM à lui seul ne répond qu’à la question « cette signature est-elle valide ? ». Il ne décide pas de ce qu’un destinataire doit faire d’un message non signé ou invalide, et il ne renvoie aucun rapport au propriétaire du domaine. C’est un mécanisme de vérification, pas un système d’application ou de surveillance.
Ce que fait DMARC
DMARC (Domain-based Message Authentication, Reporting and Conformance) se situe un niveau au-dessus. Il ne signe ni ne vérifie lui-même les messages — au lieu de cela, il consomme les résultats de réussite/échec de DKIM et SPF et ajoute trois choses qui leur manquent.
Premièrement, l’alignement. DMARC exige qu’un résultat DKIM (ou SPF) réussi appartienne au même domaine qu’un humain voit dans l’en-tête From. Une signature valide provenant d’un domaine sans rapport ne satisfait pas DMARC. Cela comble la faille qui permet aux attaquants de réussir l’authentification tout en usurpant votre marque.
Deuxièmement, la politique. Un enregistrement DMARC publié dans le DNS indique aux destinataires comment traiter les messages qui échouent à l’alignement : p=none (surveillance uniquement), p=quarantine (envoyer vers les spams) ou p=reject (bloquer purement et simplement). Vous commencez à none pour observer, puis vous resserrez vers reject.
Troisièmement, le reporting agrégé. Les destinataires renvoient des rapports XML montrant chaque source envoyant du courrier au nom de votre domaine — légitimes comme frauduleuses. Vous pouvez valider tout enregistrement publié avec un vérificateur DMARC avant de vous y fier.
DKIM vs DMARC en un coup d’œil
| Aspect | DKIM | DMARC |
|---|---|---|
| Objectif | Signer et vérifier cryptographiquement les messages | Appliquer une politique et rendre compte des résultats d’authentification |
| Ce qu’il vérifie | La validité de la signature et l’intégrité du message | Si DKIM/SPF réussissent et s’alignent avec le domaine From |
| Où il est publié | Un enregistrement DNS TXT sur un sélecteur, plus un en-tête sur chaque message | Un unique enregistrement DNS TXT à _dmarc.yourdomain.com |
| Produit des rapports ? | Non | Oui — rapports agrégés (et forensiques optionnels) |
| Peut-il agir seul ? | Il vérifie, mais ne peut ni appliquer ni rapporter | Non — il a besoin des résultats DKIM et/ou SPF pour évaluer |
Comment ils fonctionnent ensemble
DMARC ne remplace jamais DKIM ; il en dépend. Lorsqu’un message arrive, le destinataire vérifie la signature DKIM et le résultat SPF. DMARC pose ensuite une question plus stricte : au moins l’un d’eux a-t-il réussi, et le domaine ayant réussi correspond-il à l’adresse From que voit le destinataire ?
Un message réussit DMARC lorsque DKIM authentifie le message et que le domaine signataire s’aligne avec le domaine From (SPF peut satisfaire l’alignement de la même manière). Si à la fois DKIM et SPF échouent à l’alignement, DMARC applique la politique que vous avez publiée — quarantine ou reject.
C’est pourquoi les deux sont complémentaires. DKIM seul prouve qu’un message est authentique et non altéré, mais il ne fait rien lorsqu’un message n’a pas de signature ou est falsifié. DMARC seul n’a aucune preuve cryptographique à évaluer — il ne peut qu’appliquer et rendre compte des résultats que DKIM et SPF lui transmettent. Ensemble, DKIM fournit le signal digne de confiance et DMARC transforme ce signal en application et en visibilité.
Avez-vous besoin des deux ?
Oui. Ils résolvent des moitiés différentes du même problème, et aucun n’est complet à lui seul.
DKIM sans DMARC laisse de réelles failles. Une signature valide prouve qu’un message n’a pas été altéré, mais rien ne force les destinataires à rejeter le courrier non signé, et rien ne vous indique qui envoie en votre nom. Les attaquants peuvent toujours usurper votre adresse From sans aucune signature, et vous ne le verriez jamais se produire.
DMARC sans DKIM (ou SPF) n’a rien à appliquer. DMARC évalue les résultats d’authentification — si aucune méthode sous-jacente ne produit un résultat réussi et aligné, DMARC ne peut qu’échouer chaque message, ce qui casse le courrier légitime. Vous avez besoin d’au moins une méthode d’authentification qui l’alimente, et DKIM est la plus durable car sa signature survit mieux au transfert que SPF.
La réponse pratique pour tout domaine envoyant des e-mails : déployez SPF et DKIM comme couche d’authentification, puis superposez DMARC par-dessus pour aligner, appliquer et surveiller.
Foire aux questions
Quelle est la différence entre DKIM et DMARC ?
DKIM est une méthode d’authentification qui attache une signature cryptographique à chaque message afin que les destinataires puissent vérifier qu’il a été autorisé et n’a pas été altéré. DMARC est une couche de politique et de reporting qui lit les résultats DKIM et SPF, vérifie qu’ils s’alignent avec le domaine From visible, et indique aux destinataires comment gérer les échecs. L’un vérifie ; l’autre applique et rend compte.
DMARC est-il meilleur que DKIM ?
Aucun n’est meilleur — ils font des travaux différents et dépendent l’un de l’autre. DKIM fournit la preuve cryptographique qu’un message est authentique et non modifié. DMARC utilise cette preuve, ajoute l’alignement avec le domaine From, applique une politique et renvoie des rapports. Sans DKIM, DMARC n’a rien à évaluer ; sans DMARC, DKIM ne peut rien appliquer ni surveiller.
Puis-je utiliser DMARC sans DKIM ?
Techniquement, DMARC peut réussir sur SPF seul, il fonctionnera donc sans DKIM. Mais c’est fragile : SPF casse lorsque le courrier est transféré, tandis qu’une signature DKIM survit au transfert. S’appuyer uniquement sur SPF pour l’alignement signifie que le courrier légitime transféré peut échouer à DMARC. Pour une application fiable, publiez à la fois SPF et DKIM avant de resserrer votre politique DMARC.
DKIM nécessite-t-il DMARC ?
Non — DKIM fonctionne de manière indépendante et signera et vérifiera les messages sans aucun enregistrement DMARC. Mais DKIM seul ne peut pas forcer les destinataires à agir sur les échecs ni vous dire qui usurpe votre domaine. Ajouter DMARC par-dessus transforme les résultats de vérification de DKIM en politique applicable et vous donne le reporting nécessaire pour voir chaque source envoyant au nom de votre domaine.