Vérification DKIM

Vérifiez l'enregistrement DKIM d'un domaine et sa clé

DKIM signe chaque message avec une clé, et les destinataires vérifient la signature avec la clé publique dans le DNS. La clé se trouve sur selector._domainkey.domaine.

Un message signé DKIM et la clé qui le vérifie

Comment fonctionnent les clés DKIM

Le sélecteur permet à un domaine de garder plusieurs clés à la fois : une par service de messagerie, ou une ancienne et une nouvelle pendant la rotation. Google Workspace utilise google, Microsoft 365 selector1 et selector2, et Mailchimp k1.

Les clés de moins de 2048 bits sont plus faciles à casser, et certains destinataires jugent déjà faibles les signatures de 1024 bits. Changez de clé une ou deux fois par an.

Quand en avez-vous besoin

Vérifier qu'un nouveau service de messagerie signe avec votre domaine
Repérer les clés faibles de 1024 bits avant une campagne
Confirmer qu'une rotation de clé a atteint le DNS

Questions et réponses

01Comment trouver mon sélecteur DKIM ?

Ouvrez un message que vous avez envoyé et cherchez l'en-tête DKIM-Signature : le sélecteur est la balise s=. Les fournisseurs de messagerie l'affichent aussi dans les réglages du domaine.

02Pourquoi la clé est-elle introuvable ?

Le sélecteur est peut-être faux, le fournisseur attend peut-être un CNAME que vous n'avez pas encore créé, ou le DNS ne s'est pas encore mis à jour.

03Quelle longueur de clé choisir ?

RSA 2048 bits. Moins de destinataires prennent en charge Ed25519 : si vous l'utilisez, publiez-la à côté d'une clé RSA.

04Un domaine peut-il avoir plusieurs clés DKIM ?

Oui. Chaque service reçoit son propre sélecteur : un pour Google Workspace, un autre pour le service d'envoi. Les clés vivent sur des noms différents et ne se gênent pas.

05À quelle fréquence changer la clé DKIM ?

Tous les 6 à 12 mois. Publiez une clé sous un nouveau sélecteur, basculez la signature dessus, et supprimez l'ancienne quelques jours plus tard, une fois arrivées les lettres signées avec l'ancienne.