DKIM — la signature qui prouve que le message n’a pas été altéré
DKIM ajoute au message une signature cryptographique. Le serveur destinataire va chercher la clé publique dans votre DNS et vérifie que le message n’a pas été modifié en route — et qu’il vient bien d’un serveur détenant votre clé privée.
Ce que le scan vérifie — Le scan cherche vos sélecteurs DKIM publiés et signale une clé absente ou trop courte.
Lancer l'audit gratuit de mon domaineOù vit la clé
La clé publique est publiée sur un sous-domaine formé du sélecteur choisi par votre fournisseur de messagerie. C’est pourquoi il faut connaître le sélecteur pour vérifier : il n’y a pas d’emplacement unique.
dig +short TXT google._domainkey.exemple.fr
dig +short TXT selector1._domainkey.exemple.fr # Microsoft 365La longueur de clé
Une clé de 1024 bits reste acceptée partout, mais elle n’offre plus une marge confortable. 2048 bits est le choix par défaut aujourd’hui ; la plupart des fournisseurs le proposent en une case à cocher, avec une rotation de clé à la clé.
Vérifier qu’un message part bien signé
Envoyez-vous un message et affichez la source. L’en-tête `Authentication-Results` du destinataire indique `dkim=pass` accompagné du domaine signataire. Si le domaine signataire n’est pas le vôtre, la signature existe mais elle n’alignera pas DMARC.
Questions fréquentes
- Puis-je avoir plusieurs sélecteurs DKIM ?
- Oui, et c’est même souhaitable : un par service qui envoie en votre nom. Chacun publie sa propre clé sur son propre sélecteur, sans interférer avec les autres.
- Faut-il faire tourner la clé ?
- Une rotation annuelle est une bonne habitude. Publiez le nouveau sélecteur, basculez l’envoi, puis retirez l’ancien après quelques jours — le temps que les messages en vol soient tous vérifiés.
Vous préférez qu'on s'en occupe
SPF, DKIM, DMARC et durcissement DNS — 349 € en forfait, une fois. Nous posons la configuration, nous vérifions le résultat, et le rapport le prouve.
Voir le détail du forfait