Vérifier DKIM : contrôlez votre enregistrement DKIM
DKIM permet à un serveur d’envoi de signer chaque message avec une clé privée, et les destinataires vérifient la signature à l’aide d’une clé publique publiée dans le DNS. Saisissez votre domaine et le sélecteur utilisé par votre fournisseur de messagerie pour récupérer cette clé, puis voyez sa taille, son format et les raisons possibles de l’échec des signatures.
Comment trouver votre sélecteur DKIM
Un domaine peut avoir plusieurs clés DKIM à la fois, pour différents services ou pour la rotation des clés, et le sélecteur est l’étiquette qui indique laquelle utiliser. Chaque clé se trouve à l’adresse selector._domainkey.votredomaine.com : google._domainkey et s1._domainkey peuvent donc coexister.
Le moyen le plus rapide de trouver le vôtre : envoyez-vous un message, ouvrez les en-têtes complets et regardez la ligne DKIM-Signature. La valeur s= est le sélecteur et d= est le domaine qui a signé.
Vous ne savez pas à quoi ressemble un résultat ? Les boutons d’exemple ci-dessus montrent une clé de 2048 bits saine (yahoo.com avec s2048), une clé de 1024 bits qui déclenche l’avertissement de clé faible (yahoo.com avec s1024) et une clé révoquée (gmail.com avec 20230601).
Sélecteurs que certains fournisseurs utilisent par défaut
Ils varient selon le fournisseur et la façon dont un compte a été configuré : considérez-les comme un point de départ et confirmez avec votre fournisseur.
| Fournisseur | Sélecteurs courants |
|---|---|
| Google Workspace | google (et un nom basé sur une date pour les clés plus récentes) |
| Microsoft 365 | selector1 et selector2 |
| SendGrid | s1 et s2 |
| Mailchimp | k1, k2 et k3 |
| De nombreux panneaux de contrôle et hébergeurs | default |
Lire un enregistrement DKIM
| Balise | Signification |
|---|---|
| v=DKIM1 | La version. Facultative, mais elle doit valoir DKIM1 si elle est présente |
| k | Type de clé : rsa (par défaut) ou ed25519 |
| p | La clé publique, en base64. Une valeur vide signifie que la clé est révoquée |
| t=y | Mode test : les destinataires peuvent être indulgents envers les échecs |
| t=s | Mode strict : le domaine qui signe doit être identique à celui de l’adresse d’expéditeur (From) |
| s | Pour quels services la clé peut être utilisée : email ou * |
Taille de clé, découpage et rotation
- Utilisez une clé RSA de 2048 bits. Les clés de 1024 bits sont encore vérifiables mais ne sont plus recommandées, et toute taille inférieure n’est pas sûre.
- Une clé de 2048 bits est plus longue que les 255 caractères qu’une chaîne DNS peut contenir : elle est donc publiée sous forme de plusieurs chaînes entre guillemets dans un même enregistrement TXT. La plupart des interfaces DNS le font pour vous. Si une clé est tronquée à la place, elle est illisible.
- Faites tourner les clés de temps en temps. Publiez d’abord un nouveau sélecteur, configurez votre fournisseur de messagerie pour signer avec lui, et laissez l’ancien sélecteur en place jusqu’à ce que le courrier déjà en transit soit livré.
- Pour retirer une clé, publiez l’enregistrement avec un p= vide, afin que les signatures créées avec elle échouent proprement au lieu que l’enregistrement disparaisse.