Qu'est-ce qu'un enregistrement DKIM ?
DKIM ajoute une signature cryptographique à vos e-mails sortants ; les destinataires la vérifient à l'aide d'une clé publique que vous publiez dans le DNS à selector._domainkey.votre-domaine. Comme le DNS ne permet pas de lister les sélecteurs, IPeek sonde ceux qu'utilisent Google, Microsoft, Amazon SES et d'autres grands fournisseurs.
Comment fonctionnent la signature et la vérification DKIM
Lorsque vous envoyez un e-mail, votre fournisseur signe certains en-têtes et le corps du message avec une clé privée, en ajoutant un en-tête DKIM-Signature au message. Le destinataire lit les balises d= (domaine) et s= (sélecteur) de cet en-tête, récupère la clé publique correspondante à selector._domainkey.d et vérifie la signature. Si elle est valide, le contenu n'a pas été altéré en transit et provient bien d'un détenteur de clé pour ce domaine. La clé privée reste sur le serveur d'envoi ; seule la clé publique réside dans le DNS.
Les sélecteurs et la clé publique dans le DNS
Un sélecteur permet à un même domaine de publier plusieurs clés DKIM — utile pour la rotation ou pour différents services d'envoi. La clé publique est un enregistrement TXT à selector._domainkey.votre-domaine, par exemple google._domainkey.example.com, contenant v=DKIM1; k=rsa; p=<clé publique base64>. Comme le DNS n'offre aucun annuaire des sélecteurs, vous ne pouvez pas simplement demander lesquels un domaine utilise. C'est pourquoi IPeek sonde les sélecteurs courants utilisés par Google (google), Microsoft, Amazon SES et d'autres grands fournisseurs pour localiser vos clés publiées.
Comment DKIM s'articule avec SPF et DMARC
DKIM est la couche d'authentification du contenu parmi les trois. Là où le SPF autorise les hôtes d'envoi par leur IP, DKIM prouve cryptographiquement que les en-têtes et le corps d'un message n'ont pas été falsifiés et le relie à un domaine de signature. DMARC vérifie ensuite que le domaine de signature DKIM s'aligne sur l'adresse From visible. DKIM possède un avantage clé sur le SPF : comme la signature voyage avec le message, elle survit au transfert, qui brise souvent le SPF. Pour une délivrabilité solide, publiez DKIM et alignez-le sous DMARC.