DKIM expliqué
Qu'est-ce que DKIM exactement ?
DKIM est l'un des trois piliers de l'authentification e-mail, aux côtés de SPF et DMARC. Le nom signifie DomainKeys Identified Mail. Là où SPF contrôle quel serveur peut envoyer, DKIM va un pas plus loin : il prouve que le contenu de votre message n'a pas été modifié en chemin.
Cela fonctionne avec une paire de clés. Il y a une clé secrète (privée) que seul votre serveur d'envoi connaît, et une clé publique que vous publiez dans votre DNS. À l'envoi, le serveur appose, avec la clé secrète, une signature sur le message. Le destinataire récupère votre clé publique et vérifie ainsi que cette signature est correcte.
Voyez cela comme un sceau de cire sur une lettre. Vous seul avez le cachet (la clé secrète), et chacun peut voir au sceau si la lettre a été ouverte en chemin. Si la signature est valide, le destinataire sait deux choses : le message provient réellement de votre domaine, et le contenu n'a pas été manipulé.
Que fait DKIM pour vous ?
DKIM apporte trois avantages concrets.
- Preuve d'authenticité. La signature confirme que le message provient de votre domaine.
- Protection contre la manipulation. Si le contenu est modifié en chemin, la signature ne concorde plus et cela se remarque.
- Une meilleure délivrabilité. Les grands fournisseurs de messagerie voient les signatures DKIM valides comme le signe d'un expéditeur sérieux, ce qui augmente les chances d'atteindre la boîte de réception.
Depuis 2024, cela joue davantage : les grands fournisseurs de messagerie exigent des expéditeurs en masse que leur e-mail soit correctement authentifié, et DKIM en est un élément fixe. Si vous constatez que vos messages finissent tout de même dans le spam, lisez pourquoi votre courrier arrive dans le spam.
Comment bien configurer DKIM ?
Configurer DKIM revient à deux choses : le serveur d'envoi fait signer les messages, et vous publiez la clé publique correspondante dans votre DNS.
Les étapes dans les grandes lignes :
- Générez une paire de clés (c'est généralement votre fournisseur d'e-mail qui s'en charge). La clé secrète reste sur le serveur ; la clé publique vous revient.
- Publiez la clé publique sous forme d'enregistrement DNS de type TXT, à une adresse comportant ce qu'on appelle un sélecteur, par exemple
selector1._domainkey.jouwdomein.eu. - Activez la signature sur le serveur d'envoi, afin que chaque message sortant soit doté d'une signature.
- Testez un message d'essai et vérifiez que la signature est valide chez le destinataire.
À quoi faire attention :
- Le sélecteur doit correspondre. Le nom qui figure dans votre signature doit correspondre exactement à l'enregistrement DNS que vous publiez.
- Conservez bien la clé secrète. Si elle fuit, quelqu'un d'autre peut créer des signatures valides en votre nom. Faites alors une rotation de la clé.
- Copiez la clé publique en entier. Un caractère manquant rend le contrôle invalide.
- Choisissez une clé suffisamment forte (2048 bits est aujourd'hui recommandé plutôt que 1024 bits).
Si vous voulez le faire vous-même, suivez le guide distinct sur la configuration de DKIM. Une définition concise se trouve dans la fiche de notions sur DKIM.
DKIM fonctionne au mieux avec SPF et DMARC
DKIM prouve que votre message est authentique et intact, mais il ne dit pas à lui seul quels serveurs peuvent envoyer (c'est le rôle de SPF) et il ne détermine pas ce qui doit se passer si un contrôle échoue (c'est le rôle de DMARC). Ce n'est qu'une fois les trois réunis que vous fermez réellement la porte. Comment les harmoniser, vous le lirez dans le guide sur la configuration conjointe de SPF, DKIM et DMARC.
Comment Mailflux règle cela pour vous
Chez Mailflux, vous n'avez pas à générer de clés ni à coller d'enregistrements DNS vous-même. Nous gérons SPF, DKIM et DMARC pour votre domaine et surveillons la réputation IP de nos serveurs d'envoi, afin que votre courrier sortant soit proprement signé et envoie les bons signaux. Chaque formule filtre en outre par apprentissage automatique contre le spam, le phishing et les logiciels malveillants, avec antivirus, antispam, antimalware et sauvegardes automatiques par défaut.
Vous obtenez un e-mail professionnel sur votre propre domaine, hébergé en Europe et conforme au RGPD, avec la vérification en deux étapes en option. Les signatures en coulisses, c'est nous qui les prenons en charge.
FAQ
Questions fréquentes
Quelle est la différence entre SPF et DKIM ?
SPF contrôle quels serveurs peuvent envoyer au nom de votre domaine ; DKIM prouve, avec une signature numérique, qu'un message provient réellement de vous et n'a pas été modifié en chemin. Ils se complètent : SPF regarde l'expéditeur, DKIM le contenu. Pour une protection complète, vous utilisez les deux, avec DMARC.
Qu'est-ce qu'un sélecteur DKIM ?
Un sélecteur est une étiquette qui indique quelle clé publique correspond à une signature, par exemple selector1. Vous pouvez ainsi utiliser plusieurs clés en parallèle et en faire une rotation en toute sécurité. Le sélecteur de votre signature sortante doit correspondre exactement à l'enregistrement DNS associé, sinon le contrôle échoue.
Dois-je remplacer ma clé DKIM ?
Il est judicieux de faire une rotation de votre clé de temps en temps, et à coup sûr si vous soupçonnez que la clé secrète a fuité. Une clé forte (2048 bits) est aujourd'hui recommandée. Avec un service e-mail géré, cette rotation se fait généralement automatiquement, sans que vous ayez à faire quoi que ce soit.