[Réponse rapide]
DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque e-mail. Le serveur expéditeur signe avec une clé privée et les destinataires la vérifient à l'aide d'une clé publique publiée dans DNS à l' selector._domainkey.yourdomain.com . Cela prouve que le message provient de votre domaine et n'a pas été modifié ( RFC 6376 ).
Faits clés
- ›Clé publique publiée sous forme d'enregistrement TXT (ou CNAME ) sur <selector>. _domainkey .<domaine>.
- ›Utilisez des clés RSA d'au moins 2048 bits ; Les clés de 1 024 bits sont considérées comme faibles.
- ›Un domaine peut avoir plusieurs sélecteurs, un par service d'envoi.
- ›Le domaine d= dans la signature doit s'aligner sur From pour DMARC .
- ›Faites pivoter les clés périodiquement en publiant un nouveau sélecteur.
Révisé par l'équipe de recherche EmailAuth
DKIM (DomainKeys Identified Mail) est une norme d'authentification de courrier électronique qui attache une signature cryptographique à chaque message envoyé par un domaine. Le serveur de réception utilise une clé publique publiée dans votre DNS pour vérifier cette signature. S'il est vérifié, le destinataire sait que le message a été autorisé par votre domaine et que des éléments clés de celui-ci n'ont pas été modifiés en cours de route. DKIM fonctionne avec SPF et DMARC pour prouver que votre courrier est authentique et pour empêcher les messages usurpés d'entrer dans les boîtes de réception.
Comment fonctionne DKIM
DKIM utilise une paire de clés publique et privée. Votre serveur d'envoi détient la clé privée et signe chaque message sortant avec. La clé publique correspondante se trouve dans un enregistrement DNS TXT à un emplacement créé à partir de votre sélecteur, tel que selector1._domainkey.example.com . Lorsqu'un destinataire reçoit votre message, il lit le sélecteur et le domaine dans l'en-tête DKIM-Signature , récupère la clé publique dans DNS et confirme la signature. Une signature valide signifie que le courrier a été signé par une partie qui détient votre clé privée et que le contenu signé n'a pas été modifié pendant le transit.
- Clé privée : stockée sur votre plateforme d'envoi et jamais partagée ; il produit la signature.
- Clé publique : publiée dans DNS au niveau du sélecteur afin que tout récepteur puisse vérifier.
- Sélecteur : un label qui permet d'exécuter plusieurs clés à la fois, par exemple une par service d'envoi.
- Signature : l'en-tête DKIM-Signature ajouté au corps du message et aux en-têtes sélectionnés.
Ce que couvre la signature
DKIM signe un hachage du corps du message ainsi qu'un ensemble choisi d'en-têtes, généralement De, Objet, Date et À. Si un champ signé change après l'envoi, le hachage ne correspond plus et la vérification échoue. C'est pourquoi DKIM détecte les falsifications. Il ne crypte pas le message ; cela prouve l'origine et l'intégrité, et non la confidentialité.
Alignement DKIM et DMARC
Une signature DKIM réussie ne représente que la moitié de l'histoire pour DMARC . DMARC vérifie également l'alignement, ce qui signifie que le domaine dans la signature DKIM (la balise d=) doit correspondre au domaine dans l'adresse De visible. Lorsque le domaine signataire et le domaine From s'alignent, DKIM est aligné et peut satisfaire DMARC . SPF offre une deuxième voie d’alignement, c’est pourquoi la plupart des expéditeurs configurent les deux. En aligner au moins un est ce qui vous permet de faire passer DMARC de la surveillance à l'application.
À quoi ressemble un enregistrement DKIM
selector1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..." où v est la version, k est le type de clé et p est la clé publique.
Pourquoi DKIM est important maintenant
En 2024, Google et Yahoo ont commencé à exiger que les expéditeurs de masse s'authentifient auprès de SPF , DKIM et DMARC . Le courrier qui échoue à ces vérifications peut être limité ou rejeté. DKIM survit également mieux au transfert que SPF , car un message transféré conserve sa signature même lorsque l'adresse IP d'envoi change, tant que le contenu signé reste intact. DKIM fort constitue désormais une référence pour atteindre la boîte de réception à grande échelle.
Garder DKIM en bonne santé
Utilisez des clés RSA de 2 048 bits lorsque votre DNS et votre plate-forme le permettent, car les clés de 1 024 bits sont plus faibles et certains récepteurs les traitent avec méfiance. Faites pivoter les clés selon un calendrier et retirez les sélecteurs que vous n'utilisez plus. EmailAuth surveille vos sélecteurs actifs, signale les clés faibles ou obsolètes et indique si DKIM est aligné pour DMARC . Une analyse de domaine gratuite rapporte vos sélecteurs actifs, la force des clés et l'alignement en un seul passage afin que vous puissiez combler les lacunes avant les récepteurs.
Questions fréquemment posées
DKIM crypte-t-il mon courrier électronique ?
Non. DKIM ajoute une signature cryptographique qui prouve que le message provient de votre domaine et n'a pas été modifié pendant le transit. Il protège l’origine et l’intégrité, et non la confidentialité. Le corps du message lui-même est toujours lisible par toute personne qui l'intercepte, à moins que vous n'utilisiez un cryptage de transport distinct.
Qu'est-ce qu'un sélecteur DKIM ?
Un sélecteur est une étiquette qui pointe vers une clé publique spécifique dans votre DNS . Il permet de publier plusieurs clés DKIM à la fois, par exemple une différente pour chaque service d'envoi. Le récepteur lit le sélecteur dans l'en-tête DKIM-Signature et l'utilise pour trouver la bonne clé publique sur selector._domainkey.yourdomain.com .
Ai-je besoin DKIM si j’ai déjà SPF ?
Oui. SPF et DKIM vérifient différentes choses, et DMARC peut s'aligner sur l'un ou l'autre. DKIM survit mieux au transfert que SPF , donc avoir les deux vous donne un chemin plus solide vers l'alignement DMARC . Google et Yahoo s'attendent désormais à ce que les expéditeurs de masse utilisent ensemble SPF , DKIM et DMARC .
À quelle fréquence dois-je alterner les clés DKIM ?
Une pratique courante consiste à faire tourner les clés tous les six à douze mois, et plus tôt si vous pensez qu'une clé a été exposée. La rotation limite les dommages causés par une fuite de clé privée. EmailAuth signale les clés obsolètes afin que vous sachiez quand un sélecteur est en retard pour une actualisation.
Qu’est-ce que DKIM dans le courrier électronique ?
Il s'agit d'une signature numérique ajoutée aux en-têtes des messages qui permet aux destinataires de vérifier le domaine d'envoi et que le contenu n'a pas été modifié pendant le transit.
Comment fonctionne DKIM ?
L'expéditeur hache les en-têtes sélectionnés et le corps, signe le hachage avec une clé privée et ajoute un en-tête DKIM-Signature . Le récepteur récupère la clé publique du DNS à l'aide du sélecteur et vérifie la signature.
Pouvez-vous avoir plusieurs enregistrements DKIM ?
Oui, un par sélecteur. Chaque service d'envoi dispose généralement de son propre sélecteur et de sa propre clé.
Comment configurer DKIM ?
Activez DKIM dans chaque service d'envoi, publiez l'enregistrement TXT ou CNAME qu'il vous donne, puis vérifiez avec une recherche DKIM .
[ DKIM guide ]
Provenance de l'entreprise
Pourquoi les principales institutions financières et gouvernements ont retiré leurs tableaux de bord de sécurité de messagerie.
Les plateformes traditionnelles d'authentification de courrier électronique vous vendent un tableau de bord et demandent à vos ingénieurs de faire le travail. Dans les environnements à enjeux élevés, la surveillance manuelle entraîne des retards dans l’application, des dérives de configuration et des domaines fantômes non surveillés.
EmailAuth est la plateforme agent de provenance des e-mails. Nos agents appliquent p=reject, gardez les expéditeurs tiers alignés et déplacez vos domaines au maximum RFC 9989 conformité, la nouvelle norme DMARC , avec une auditabilité humaine dans la boucle.
SaaS · Location dédiée · Air-gappé sur site · Chiffrement BYOK