netlupaVérifier la clé DKIM d'un domaine
DKIM signe chaque e-mail pour que le destinataire vérifie que personne d'autre ne l'a envoyé. Saisis le domaine et, si tu le connais, son sélecteur.
Comment fonctionne DKIM
Le serveur d'envoi signe le message avec une clé privée et ajoute l'en-tête DKIM-Signature. Le destinataire y lit le domaine (d=) et le sélecteur (s=), consulte l'enregistrement TXT selecteur._domainkey.domaine et vérifie la signature avec la clé publique qu'il y trouve.
Le sélecteur permet d'avoir plusieurs clés à la fois : une par fournisseur, ou une nouvelle quand on remplace l'ancienne. C'est pourquoi on ne peut pas lister toutes les clés d'un domaine : il faut connaître le sélecteur. Si tu n'en indiques pas, l'outil essaie ceux des fournisseurs les plus courants.
La clé doit être RSA d'au moins 1024 bits (2048 recommandés) ou Ed25519. Une clé vide (p=) signifie que le sélecteur a été révoqué.
Chaque enregistrement en détail
Questions fréquentes
Tous les combien changer la clé DKIM ?
Il est recommandé de la renouveler au moins une fois par an : publie d'abord la nouvelle sous un autre sélecteur, bascule la signature, puis retire l'ancienne quelques jours plus tard.
Pourquoi ma clé de 2048 bits ne rentre-t-elle pas dans le DNS ?
Une chaîne TXT contient au maximum 255 caractères, mais un enregistrement peut en contenir plusieurs à la suite. Les interfaces DNS modernes les découpent automatiquement ; si la tienne ne le fait pas, coupe la clé en morceaux entre guillemets.
Quel est mon sélecteur DKIM ?
Ouvre un e-mail que tu as envoyé, affiche son code source ou ses en-têtes d'origine et cherche DKIM-Signature : la valeur de « s= » est le sélecteur et celle de « d= » le domaine. Google Workspace utilise souvent « google » et Microsoft 365 « selector1 » et « selector2 ».
Vaut-il mieux « ~all » ou « -all » ?
Avec DMARC en place, la différence pratique est faible, car c'est la politique DMARC qui décide. « -all » est plus strict ; « ~all » est plus tolérant avec les transferts et les services oubliés. Sans DMARC, « -all » protège davantage.
J'ai modifié le DNS et l'outil ne le voit pas, pourquoi ?
Les enregistrements DNS restent en cache pendant la durée de leur TTL (souvent une heure). Attends ce délai et revérifie. Vérifie aussi que l'enregistrement est sur le bon nom (par exemple _dmarc.tondomaine.fr pour DMARC).
Faut-il SPF et DMARC sur un domaine qui n'envoie pas d'e-mails ?
Oui, c'est très recommandé : publie « v=spf1 -all » et « v=DMARC1; p=reject; » pour que personne ne puisse utiliser ce domaine afin d'envoyer de faux e-mails.
Conservez-vous les domaines que je vérifie ?
Non. Nous interrogeons le DNS public au moment même, avec notre propre résolveur, et nous ne conservons ni le domaine ni le résultat.