Aller au contenu
DomainVigil
S'inscrire

Guide de référence

Qu'est-ce que DKIM ?

DKIM attache au message une signature cryptographique que le destinataire peut vérifier. C'est le seul des trois protocoles de courrier qui survit à une réexpédition, et c'est pour cela qu'il ne se remplace pas.

7 min de lectureMis à jour le 12 septembre 2026

En bref

DKIM est une signature posée par le serveur d'envoi dans un en-tête du message. La clé publique qui permet de la vérifier est publiée dans le DNS du domaine, sous un nom de la forme sélecteur._domainkey.votredomaine. Si la signature se recalcule à l'identique chez le destinataire, le message vient bien du domaine annoncé et n'a pas été modifié en route.

À quoi sert DKIM

SPF regarde d'où part le message. DKIM regarde le message lui-même. La différence n'est pas théorique : quand une boîte redirige automatiquement le courrier vers une autre adresse, le message repart d'un serveur qui n'a jamais figuré dans aucune liste SPF, et la vérification d'origine échoue. La signature DKIM, elle, est dans le message : elle arrive intacte et se vérifie encore.

La signature est posée par la plateforme qui envoie — messagerie d'entreprise, outil de facturation, service d'infolettre. Chacune a sa propre clé, et chacune publie la sienne sous un sélecteur différent. Un domaine porte donc normalement plusieurs enregistrements DKIM, un par service, et c'est parfaitement sain.

Le propriétaire du domaine, lui, ne manipule qu'une chose : l'enregistrement DNS qui publie la clé publique. La clé privée ne quitte jamais le prestataire. C'est ce partage qui rend DKIM déléguable à cinq services sans partager le moindre secret.

Ce qui se passe, du départ à l'arrivée

Cinq étapes séparent le clic sur « envoyer » du verdict affiché chez le destinataire. Comprendre laquelle a échoué fait gagner une heure de recherche.

  1. 1

    Le serveur d'envoi choisit ce qu'il couvre

    Il calcule une empreinte du corps du message, puis désigne la liste des en-têtes qu'il veut protéger — au minimum l'expéditeur affiché, souvent aussi l'objet et la date.

  2. 2

    Il signe avec sa clé privée

    Le résultat est ajouté au message sous forme d'un en-tête qui porte le domaine signataire, le sélecteur, la liste des en-têtes couverts, l'empreinte du corps et la signature elle-même.

    DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=selecteur1; h=from:to:subject:date; bh=...; b=...

  3. 3

    Le message traverse Internet

    Les serveurs intermédiaires peuvent ajouter des en-têtes, reformater des espaces, réencoder le texte. Seuls les en-têtes listés à l'étape précédente sont protégés ; le reste peut bouger sans invalider la signature.

  4. 4

    Le destinataire va chercher la clé publique

    Il assemble le nom à interroger à partir du sélecteur et du domaine signataire annoncés dans l'en-tête, puis lit l'enregistrement TXT qui s'y trouve.

    selecteur1._domainkey.example.com

  5. 5

    Il refait le calcul

    Si l'empreinte se reconstitue à l'identique, la signature est valide : le message vient du domaine annoncé et son contenu couvert n'a pas été touché. Sinon, DKIM échoue et le sort du message se décide ailleurs.

Où vit la clé publique, et ce qu'elle contient

L'enregistrement DKIM est un TXT publié sous un nom en trois parties. C'est ce nom, plus que son contenu, qui déroute la première fois.

selecteur1._domainkey.example.com. 3600 IN TXT "v=DKIM1; k=rsa; t=s; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

  1. selecteur1Le sélecteur

    Un nom libre, choisi par le service qui signe. Il permet de publier plusieurs clés sur le même domaine et d'en changer sans interruption : on publie la nouvelle sous un autre sélecteur, on bascule, puis on retire l'ancienne.

  2. _domainkeyLe compartiment réservé

    Toujours écrit ainsi, souligné compris. C'est la partie fixe qui indique qu'on est dans l'espace de noms DKIM et non ailleurs.

  3. v=DKIM1La version

    Facultative, mais si elle est présente elle doit être la première balise de l'enregistrement.

  4. k=rsaLe type de clé

    RSA par défaut. La seule autre valeur normalisée est ed25519, plus courte, mais que tous les vérificateurs ne connaissent pas encore.

  5. t=sLes drapeaux

    Deux valeurs existent. Le s interdit qu'un sous-domaine se serve de cette clé. Le y annonce un mode d'essai : le destinataire est prié de ne rien conclure d'un échec.

  6. p=MIIBIjAN...La clé publique

    Encodée en base64. Une balise p vide n'est pas une erreur de saisie : c'est la manière normalisée de révoquer une clé sans supprimer l'enregistrement.

Les balises de l'enregistrement DKIM

L'enregistrement se lit comme une suite de balises séparées par des points-virgules. Deux seulement sont indispensables ; les autres ont une valeur par défaut qui convient presque toujours.

BaliseCe qu'elle ditPar défaut
vLa version du format. Si elle figure, elle vient en premier.Absente
kLe type de clé publiée : rsa, ou ed25519 pour les signatures courtes.rsa
pLa clé publique en base64. Obligatoire. Vide, elle révoque la clé.Aucune
hLes fonctions d'empreinte acceptées, séparées par deux-points. Restreindre à sha256 est la pratique courante.Toutes
sLe type de service autorisé à utiliser la clé. La valeur email la réserve au courrier.*
tLes drapeaux : y pour un mode d'essai sans conséquence, s pour interdire l'usage par les sous-domaines.Aucun
nUne note libre à destination d'un humain qui lirait l'enregistrement.Aucune

Vérifiez sur votre domaine, tout de suite

Entrez un nom de domaine : l'outil cherche ses signatures DKIM publiées, son SPF et son DMARC, et vous dit ce que chacun couvre.

Sans inscription, sans e-mail à laisser. Vous pouvez coller une adresse complète : nous en extrayons le domaine.

Les tailles de clé et ce qu'elles impliquent

La taille de la clé décide surtout d'une chose très concrète : est-ce que l'enregistrement tient dans une seule chaîne DNS, ou faut-il le découper.

CléLongueur de la balise pCe qu'il faut en savoir
RSA 1024environ 216 caractèresLe plancher admis. Tient dans une seule chaîne TXT, mais n'offre plus la marge qu'on attend aujourd'hui.
RSA 2048environ 392 caractèresLa recommandation courante. Dépasse la limite de 255 caractères d'une chaîne TXT : l'enregistrement doit être publié en plusieurs morceaux.
RSA 4096environ 736 caractèresAdmis, rarement nécessaire. Plusieurs morceaux obligatoires, et certaines interfaces de DNS refusent encore de les coller correctement.
Ed2551944 caractèresTient largement dans une chaîne. En contrepartie, les vérificateurs qui ne la connaissent pas la traitent comme une signature absente.

Une clé de moins de 1024 bits est refusée d'office par les vérificateurs : elle équivaut à ne pas signer. Si une interface propose encore 512 bits, ce réglage est à ignorer.

Ce qui casse une signature DKIM

  • L'enregistrement existe mais la vérification échoue

    Ce qui le provoque : La clé a été recollée à la main depuis l'interface du prestataire, avec un retour à la ligne ou une espace au milieu de la balise p.

    Le geste qui corrige : Republier la valeur telle qu'elle est fournie, sans reformatage. Le découpage en plusieurs chaînes se fait entre guillemets, jamais par un retour à la ligne dans la valeur.

  • La signature passe chez l'un, échoue chez l'autre

    Ce qui le provoque : Une liste de diffusion ou un dispositif de sécurité en entrée modifie l'objet ou le corps du message après la signature.

    Le geste qui corrige : Rien à corriger côté DNS. C'est le cas que DMARC prend en charge en acceptant qu'un seul des deux contrôles réussisse.

  • Le service a changé de clé, le courrier est marqué

    Ce qui le provoque : La rotation a été faite côté prestataire mais l'ancien sélecteur est resté seul publié dans le DNS.

    Le geste qui corrige : Publier le nouveau sélecteur avant la bascule, laisser les deux cohabiter le temps d'un TTL, puis retirer l'ancien.

  • Un seul service signe, les autres non

    Ce qui le provoque : DKIM se configure service par service. Ajouter un outil de facturation ou d'infolettre n'ajoute aucune signature tant qu'on n'a pas publié son sélecteur.

    Le geste qui corrige : Faire l'inventaire de tout ce qui envoie du courrier au nom du domaine, et publier un enregistrement par service.

Les questions qu'on se pose ensuite

Combien d'enregistrements DKIM un domaine peut-il avoir ?

Autant que de services qui envoient en son nom. Chacun vit sous son propre sélecteur et n'interfère pas avec les autres. Contrairement à SPF, il n'y a ici ni doublon interdit ni budget de requêtes.

Peut-on trouver le sélecteur d'un domaine sans le connaître ?

Pas de façon fiable : le nom est libre et le DNS ne permet pas de lister ce qui existe sous un préfixe. Le sélecteur se lit dans l'en-tête d'un message reçu depuis ce domaine, ou dans la documentation du prestataire.

Faut-il faire tourner les clés, et à quel rythme ?

La rotation est une bonne pratique, mais elle relève du prestataire qui détient la clé privée. Côté domaine, ce qui compte est de publier le nouveau sélecteur avant la bascule et de ne pas laisser traîner les anciens indéfiniment.

DKIM remplace-t-il SPF ?

Non, et l'inverse non plus. SPF protège contre l'usurpation à la source, DKIM contre la modification en route. DMARC exige qu'au moins l'un des deux réussisse et que le domaine validé soit celui qui s'affiche.

Une signature qui tombe ne prévient personne

Un sélecteur retiré trop tôt, une clé révoquée par un prestataire, un enregistrement écrasé pendant une migration DNS : le courrier continue de partir, simplement il n'est plus signé. DomainVigil relit les enregistrements de chacun de vos domaines tous les jours et vous écrit au premier changement.

Commencer gratuitement

Cinq domaines gratuits, pour toujours. Sans carte bancaire.

Les autres guides de référence