Vérificateur DKIM
Saisissez un domaine pour chercher ses clés publiques DKIM sous les sélecteurs qu'utilisent les services d'envoi. Gratuit, sans compte.
Chaque enregistrement est vérifié dans la même passe. Aussi : Vérificateur SPF, Vérificateur DMARC, Recherche des enregistrements MX. Vérification complète du domaine.
Comment fonctionne DKIM
Le service qui envoie vos emails signe chaque message avec une clé privée. La clé publique correspondante est publiée dans le DNS, sous un nom fait d'un sélecteur et de _domainkey. Le destinataire lit le sélecteur dans la signature, récupère la clé et vérifie que le message n'a pas été modifié en route.
google._domainkey.votredomaine.fr. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
Pourquoi un vérificateur peut répondre "non déterminé"
Le DNS ne permet pas de lister les sélecteurs d'un domaine. Chaque service d'envoi choisit son nom : google pour Google Workspace, selector1 et selector2 pour Microsoft 365, k1 pour Mailchimp, s1 et s2 pour SendGrid. Le vérificateur essaie les plus courants. Si aucun ne répond, votre clé est peut-être sous un nom qu'il n'a pas essayé : il répond non déterminé plutôt qu'absent.
La méthode sûre : envoyez un message vers une adresse Gmail, ouvrez-le, choisissez Afficher l'original et lisez la ligne DKIM. Elle donne le sélecteur et dit pass ou fail.
Les clés à surveiller
Une clé RSA de moins de 1024 bits est refusée par plusieurs destinataires ; 2048 est la valeur par défaut actuelle. Un enregistrement avec un p= vide signifie que la clé a été révoquée volontairement. Un enregistrement mal découpé en chaînes TXT par une interface DNS donne en général une clé illisible.
Questions
Comment trouver mon sélecteur DKIM ?
Ouvrez dans Gmail un message que vous avez envoyé, choisissez Afficher l'original et regardez l'en-tête DKIM-Signature : s= est le sélecteur et d= le domaine signataire. Votre service d'envoi l'affiche aussi dans ses réglages de domaine. La clé publique se trouve alors sur selecteur._domainkey.votredomaine.fr.
Un domaine peut-il avoir plusieurs clés DKIM ?
Oui, une par sélecteur. Chaque service qui envoie en votre nom (votre messagerie, un outil de newsletter, un support client) a en général son propre sélecteur et sa clé. Elles ne se gênent pas, contrairement aux enregistrements SPF.
Quelle longueur de clé DKIM utiliser ?
RSA 2048 bits. Les clés de 1024 bits passent encore chez la plupart des destinataires mais sont jugées faibles, et certaines interfaces DNS demandent de découper la valeur 2048 bits en plusieurs chaînes entre guillemets, ce qui est normal.
DKIM suffit-il pour passer DMARC ?
Oui, quand le domaine d= de la signature correspond au domaine de l'adresse De. Un message signé seulement par le service d'envoi sous son propre domaine passe DKIM mais n'est pas aligné, et DMARC exige l'alignement.
Lit uniquement le DNS public. Une clé DKIM introuvable est indiquée comme non déterminée, jamais comme une erreur. Les résultats sont gardés dix minutes.