[Réponse rapide]
Pour configurer DKIM , générez une clé sur chaque plateforme d'envoi (ou avec un générateur DKIM ), publiez la clé publique sous forme d'enregistrement TXT ou CNAME sur selector._domainkey.yourdomain.com , activez la connexion à la plateforme et confirmez la signature avec une recherche DKIM ou une analyse d'en-tête.
Faits clés
- ›Sélecteur par défaut Google Workspace : google.
- ›Microsoft 365 utilise les enregistrements CNAME selector1 et selector2.
- ›Utilisez des clés RSA de 2 048 bits lorsque votre hôte DNS autorise des valeurs TXT longues.
Révisé par l'équipe de recherche EmailAuth
La configuration DKIM se déroule en cinq étapes : générer une paire de clés, publier la clé publique dans DNS au niveau d'un sélecteur, activer la signature sur votre plateforme d'envoi, vérifier que les signatures passent et s'alignent sur votre domaine From, puis alterner les clés selon un calendrier. La plupart des plateformes de messagerie génèrent les clés pour vous et vous donnent un enregistrement à coller dans DNS , le travail consiste donc principalement à copier et vérifier soigneusement. Une fois DKIM opérationnel, il alimente l'alignement DMARC aux côtés de SPF .
Avant de commencer
Répertoriez tous les services qui envoient du courrier à l'aide de votre domaine : votre fournisseur de boîte aux lettres, votre outil marketing, votre service d'assistance, votre système de facturation et tout autre. Chacun a besoin de sa propre clé et sélecteur DKIM . Manquer un service signifie que son courrier peut échouer DKIM et, une fois que vous appliquez DMARC , atterrir dans le spam ou rebondir. Une analyse de domaine vous aide à trouver les expéditeurs que vous avez oubliés.
- 1
1. Générez une paire de clés
Créez une clé publique et privée, idéalement RSA de 2048 bits. La plupart des plateformes le font pour vous dans leurs paramètres DKIM et conservent la clé privée de leur côté. Si vous vous auto-hébergez, générez la paire avec les outils de votre serveur de messagerie et stockez la clé privée en toute sécurité.
- 2
2. Publier la clé publique dans DNS
Ajoutez un enregistrement TXT à selector._domainkey.yourdomain.com , en utilisant le sélecteur que votre plateforme vous propose. La valeur ressemble à v=DKIM1; k=rsa; p=YOUR_PUBLIC_KEY. Si la clé est longue, divisez-la en chaînes entre guillemets afin que DNS accepte la valeur complète.
- 3
3. Activer la signature
Activez la signature DKIM sur votre plate-forme d'envoi afin que chaque message sortant reçoive un en-tête DKIM-Signature . Confirmez les signes de la plateforme avec le sélecteur et le domaine que vous avez publié.
- 4
4. Vérifiez les signatures et l'alignement
Envoyez un message test à une boîte aux lettres que vous contrôlez et vérifiez les en-têtes pour un laissez-passer DKIM . Confirmez que le domaine d= correspond à votre domaine From afin que DKIM soit aligné sur DMARC . Un vérificateur ou une analyse de domaine confirme la force et l'alignement en un seul coup d'œil.
- 5
5. Faites pivoter les clés selon un calendrier
Prévoyez de remplacer les clés tous les six à douze mois. Publiez un nouveau sélecteur, changez de signature, vérifiez qu'il réussit, puis supprimez l'ancien enregistrement une fois qu'aucun courrier ne l'utilise.
Exemple d'enregistrement
s1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ..." réparti entre chaînes entre guillemets si votre DNS limite la longueur d'enregistrement.
Erreurs de configuration courantes
- Coller la clé avec des sauts de ligne ou des espaces qui corrompent la valeur.
- Publication sous un mauvais nom de sélecteur, de sorte que l'enregistrement semble manquant.
- Utilisation d'une clé de 1 024 bits lorsque 2 048 bits sont disponibles.
- Oublier un service d'envoi, donc son courrier reste non signé.
- Activer la signature mais ne jamais vérifier que le domaine s'aligne sur From pour DMARC .
Vérifier, puis appliquer
Une fois que DKIM a été adopté et aligné, déplacez DMARC vers l'application. Commencez par p=none pour consulter les rapports, confirmez que tous vos expéditeurs sont authentifiés, puis passez à p=quarantine et p=reject. Google et Yahoo exigent que les expéditeurs en masse s'authentifient depuis 2024, une configuration DKIM vérifiée fait donc partie de l'accès à la boîte de réception. EmailAuth surveille vos sélecteurs après la configuration, signale les clés faibles ou obsolètes et confirme que DKIM reste aligné lorsque vous ajoutez de nouveaux expéditeurs.
Questions fréquemment posées
Combien de temps faut-il pour que DKIM fonctionne après la publication du disque ?
L'enregistrement DNS doit se propager, ce qui prend généralement quelques minutes mais peut prendre jusqu'à une journée en fonction de votre fournisseur et de la durée de vie. Une fois la clé publique visible dans DNS et la signature activée, les destinataires peuvent vérifier votre courrier. Envoyez un message de test et vérifiez les en-têtes pour confirmer qu'il réussit.
Puis-je utiliser une seule clé DKIM pour tous mes outils d’envoi ?
Il est plus simple de donner à chaque service son propre sélecteur et sa propre clé, car la clé privée reste sur cette plateforme. Partager une clé entre outils n’est pas pratique puisque chaque plateforme possède sa propre clé privée. L'utilisation d'un sélecteur par service facilite également la rotation et le dépannage.
Quelle longueur de clé dois-je utiliser pour DKIM ?
Utilisez RSA 2048 bits lorsque votre fournisseur DNS et votre plate-forme le prennent en charge. Il est plus puissant que l'ancienne norme 1024 bits, que certains récepteurs déconseillent désormais. Si une clé longue ne rentre pas dans une chaîne TXT , divisez-la en plusieurs chaînes entre guillemets.
Ai-je toujours besoin SPF et DMARC si DKIM est configuré ?
Oui. DKIM prouve que le message a été signé et inchangé, mais DMARC lie l'authentification à votre domaine From visible et indique aux destinataires quoi faire en cas d'échec. SPF donne un deuxième chemin d'alignement. Ces trois éléments réunis correspondent à ce que Google et Yahoo attendent des expéditeurs de masse.
Comment configurer DKIM ?
Activez DKIM sur votre plateforme de messagerie, copiez l'enregistrement DNS qu'il affiche, publiez-le, attendez que DNS se propage et cliquez sur vérifier ou commencer à signer.
Combien de temps faut-il pour que DKIM fonctionne ?
Généralement de quelques minutes à quelques heures, en fonction de la propagation DNS et du TTL de votre fournisseur.
[ DKIM guide ]
Provenance de l'entreprise
Pourquoi les principales institutions financières et gouvernements ont retiré leurs tableaux de bord de sécurité de messagerie.
Les plateformes traditionnelles d'authentification de courrier électronique vous vendent un tableau de bord et demandent à vos ingénieurs de faire le travail. Dans les environnements à enjeux élevés, la surveillance manuelle entraîne des retards dans l’application, des dérives de configuration et des domaines fantômes non surveillés.
EmailAuth est la plateforme agent de provenance des e-mails. Nos agents appliquent p=reject, gardez les expéditeurs tiers alignés et déplacez vos domaines au maximum RFC 9989 conformité, la nouvelle norme DMARC , avec une auditabilité humaine dans la boucle.
SaaS · Location dédiée · Air-gappé sur site · Chiffrement BYOK