Enregistrement DKIM - pourquoi est-ce important ?

N'importe qui peut mettre ton adresse e-mail dans le champ « De » d'un e-mail. Même un escroc. Alors comment le destinataire sait-il qu'un e-mail vient vraiment de toi ? C'est à ça que sert DKIM.

DKIM ajoute une signature numérique à chaque e-mail que tu envoies. Le serveur de messagerie du destinataire vérifie cette signature à l'aide d'une clé qui se trouve dans le DNS de ton nom de domaine. Elle correspond ? Alors l'e-mail vient vraiment de ton nom de domaine. Et personne ne l'a modifié en chemin.

La bonne nouvelle ? Avec notre messagerie et nos paramètres par défaut, nous configurons DKIM pour toi. Tu n'as rien à faire.

Qu'est-ce que DKIM ?

DKIM signifie DomainKeys Identified Mail. C'est une norme qui vérifie de quel nom de domaine vient un e-mail, et si cet e-mail est arrivé sans modification.

Pense à un cachet de cire sur une lettre. Seul l'expéditeur possède le sceau. Mais tout le monde sait à quoi doit ressembler le cachet. Le cachet est brisé, ou il a l'air différent ? Alors quelque chose ne va pas.

Yahoo et Cisco ont développé DKIM en 2005. Il combine DomainKeys de Yahoo et Identified Internet Mail de Cisco. D'où son nom. En 2007, l'Internet Engineering Task Force (IETF) a approuvé DKIM comme norme. C'est l'organisme à l'origine des normes d'internet.

Comment fonctionne DKIM ?

DKIM utilise deux clés qui vont ensemble :

• La clé privée reste sur le serveur de messagerie qui envoie tes e-mails. Personne d'autre ne l'a. C'est le sceau.
• La clé publique se trouve dans le DNS de ton nom de domaine, visible par tous. C'est l'apparence que doit avoir le cachet. C'est ton enregistrement DKIM.

Voici ce qui se passe pour chaque e-mail que tu envoies :

1. Ton serveur de messagerie signe l'e-mail avec la clé privée.
2. Il ajoute la signature à l'en-tête de l'e-mail : les lignes cachées en haut, avec des informations comme l'expéditeur et la date. La signature y a sa propre ligne, appelée DKIM-Signature. Cette ligne indique aussi quel nom de domaine a signé l'e-mail (d=), et quelle clé utiliser : le sélecteur (s=).
3. Le serveur de messagerie du destinataire cherche la clé publique dans ton DNS, à l'adresse selector._domainkey.tondomaine.com.
4. Il vérifie la signature avec cette clé. Elle correspond ? Alors la vérification DKIM réussit.

La signature couvre le texte de l'e-mail et ses lignes les plus importantes, comme celle de l'expéditeur. Un seul mot modifié en chemin, et la signature ne correspond plus. Le destinataire sait donc que l'e-mail est arrivé exactement comme tu l'as envoyé.

Bon à savoir : DKIM ne chiffre pas ton e-mail et ne cache rien. Il prouve seulement d'où vient l'e-mail, et que personne ne l'a modifié.

Avec la clé publique dans ton DNS, tu dis au monde entier : les e-mails signés avec la clé privée correspondante viennent vraiment de nous. C'est pourquoi les deux clés doivent aller ensemble. La clé dans ton DNS est erronée ou périmée ? Alors la vérification échoue.

Pourquoi DKIM est-il important ?

Un faux e-mail envoyé au nom de quelqu'un d'autre, c'est de l'usurpation (spoofing). Les escrocs s'en servent pour l'hameçonnage (phishing). DKIM aide les destinataires à distinguer les vrais e-mails des faux.

DKIM aide aussi tes propres e-mails à arriver dans la boîte de réception. Les grands fournisseurs de messagerie s'appuient dessus. Depuis février 2024, Gmail demande SPF ou DKIM à chaque expéditeur. Tu envoies plus de 5 000 e-mails par jour à des adresses Gmail ? Il te faut alors SPF, DKIM et DMARC.

Une équipe : SPF, DKIM et DMARC

DKIM fonctionne le mieux avec deux autres enregistrements. Chacun a son propre rôle :

• SPF : les serveurs de messagerie autorisés à envoyer des e-mails pour ton nom de domaine. La liste des invités à l'entrée. En savoir plus sur l'enregistrement SPF.
• DKIM : la preuve que l'e-mail vient de ton nom de domaine, sans modification. Le cachet sur la lettre.
• DMARC : ce que les destinataires doivent faire des e-mails qui échouent aux deux contrôles. Les distribuer quand même, les mettre dans le dossier spam ou les refuser.

Pourquoi SPF ne suffit-il pas ? SPF vérifie le serveur d'envoi et une adresse de retour cachée. Il ne vérifie pas l'adresse « De » que les gens voient. Un escroc peut donc passer le contrôle SPF avec son propre nom de domaine, tout en mettant ton adresse dans le champ « De ». Et quand quelqu'un transfère ton e-mail, SPF échoue souvent, car le serveur qui le transfère ne figure pas sur ta liste. DKIM résiste généralement au transfert, tant que personne ne modifie l'e-mail.

DMARC relie le tout. Il exige que SPF ou DKIM réussisse pour le nom de domaine du champ « De ».

Utiliser SPF et DKIM ensemble est donc beaucoup plus sûr qu'utiliser SPF seul.

Avec nos paramètres par défaut, nous configurons les trois pour toi. Notre enregistrement DMARC demande aux destinataires de placer dans le dossier spam les e-mails qui échouent aux deux contrôles.

À quoi ressemble un enregistrement DKIM ?

Un enregistrement DKIM est un enregistrement TXT dans le DNS de ton nom de domaine. Son nom se compose de trois parties :

selector._domainkey.tondomaine.com

• Le sélecteur : un nom choisi par l'expéditeur, comme site-eu1, google ou selector1. Le destinataire le trouve dans la signature. Grâce au sélecteur, un nom de domaine peut avoir plusieurs clés DKIM. Une pour ta messagerie, une pour ton outil de newsletter, et ainsi de suite.
• _domainkey : toujours identique. Il signifie : une clé DKIM se trouve ici.
• Ton nom de domaine. Tu envoies des e-mails depuis un sous-domaine, comme news.tondomaine.com ? Il se peut alors que l'enregistrement doive se trouver sous ce sous-domaine. Ton fournisseur t'indique le nom exact.

La valeur ressemble à ceci :

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GN…

• v=DKIM1 : la version. Elle indique aux destinataires qu'il s'agit d'un enregistrement DKIM.
• k=rsa : le type de clé. Généralement RSA.
• p= : la clé publique elle-même. Ici, elle est raccourcie. Les vraies clés sont longues, souvent plusieurs centaines de caractères.

Parfois, tu vois d'autres éléments, comme h=sha256 (la façon dont la signature est calculée) ou t=y (mode test). Copie le tout exactement comme ton fournisseur te le donne.

Une longue clé est souvent découpée en morceaux, chacun entre guillemets. C'est normal. Un morceau de texte dans le DNS peut faire 255 caractères au maximum. Les destinataires recollent les morceaux.

Certains fournisseurs te donnent un enregistrement CNAME au lieu d'un enregistrement TXT. Il pointe vers un enregistrement chez le fournisseur, où se trouve la clé elle-même. Nous faisons pareil.

Que faisons-nous pour toi ?

Tu utilises notre messagerie ? Nos serveurs de messagerie signent alors avec DKIM les e-mails que tu envoies. Quand nos paramètres par défaut sont activés, nous plaçons aussi l'enregistrement DKIM dans ton DNS, à côté de tes enregistrements SPF et DMARC. Tu n'as ni clé à créer, ni sélecteur à choisir.

Notre enregistrement DKIM est un enregistrement CNAME. Son nom est site-eu1._domainkey, suivi de ton nom de domaine. Sa valeur est site-eu1._include.site.eu :

site-eu1._domainkey.tondomaine.com CNAME site-eu1._include.site.eu

Notre clé publique se trouve à l'adresse site-eu1._include.site.eu, dans notre propre DNS. Si nous remplaçons un jour la clé, ton enregistrement reste donc le même.

Où le voir ?

Quand les paramètres par défaut sont activés, tu ne vois pas tes enregistrements DNS dans ton tableau de bord. L'option Gestion du DNS reste grisée, car nous gérons tout pour toi. Inutile de désactiver les paramètres par défaut juste pour jeter un œil. Tu veux savoir si DKIM fonctionne ? Fais le test à la fin de cet article.

Tu as désactivé les paramètres par défaut ? Tu trouves alors l'enregistrement dans la liste sous Gestion du DNS. Laisse-le tel quel. Sans lui, les destinataires ne peuvent pas vérifier la signature de tes e-mails, et DKIM échoue. Tu l'as supprimé par erreur ? Ajoute-le de nouveau, avec le nom et la valeur ci-dessus. D'ici là, ton tableau de bord affiche une notification d'enregistrements DNS manquants.

Ton nom de domaine utilise d'autres serveurs de noms ? Nous ne pouvons alors pas ajouter l'enregistrement pour toi. Ajoute-le toi-même, auprès de l'entreprise qui gère ton DNS. Ton tableau de bord indique les enregistrements dont ta messagerie a besoin. Tu les trouves dans la notification d'enregistrements DNS manquants. Pour un nom de domaine enregistré ailleurs, ils se trouvent sous Enregistrements DNS que tu dois créer dans Paramètres avancés.

Tu envoies des e-mails via un autre fournisseur ?

Par exemple un outil de newsletter, ta boutique en ligne ou Microsoft 365. Ce fournisseur envoie des e-mails en ton nom et les signe avec sa propre clé. Il lui faut donc son propre enregistrement DKIM dans ton DNS. Le sélecteur et la valeur viennent de ce fournisseur.

Étape 1 : Récupère l'enregistrement DKIM auprès de ton fournisseur. Tu le trouves dans ses paramètres ou ses pages d'aide : un nom avec un sélecteur, un type (TXT ou CNAME) et une valeur.

Étape 2 : Ouvre ton nom de domaine dans ton tableau de bord. Clique sur Paramètres du domaine, puis sur Paramètres avancés. Désactive l'option Utiliser les paramètres par défaut de Site.fr et clique sur Oui, je veux continuer. À partir de là, c'est toi qui gères tes enregistrements DNS. Tu hésites ? Lis d'abord pourquoi les paramètres par défaut conviennent le mieux à la plupart des gens.

Étape 3 : Ouvre Gestion du DNS. Remplis la ligne vide du bas avec le nom, le type et la valeur donnés par ton fournisseur. Tu peux omettre ton nom de domaine dans le nom : nous l'ajoutons. Clique sur Sauvegarder les enregistrements DNS.

Besoin d'aide pour ces étapes ? Lis comment gérer tes enregistrements DNS.

• Laisse notre enregistrement site-eu1._domainkey tel quel. Chaque fournisseur utilise son propre sélecteur : les enregistrements ne se gênent donc pas.
• Ajoute aussi le fournisseur à ton enregistrement SPF.
• Ton nom de domaine utilise d'autres serveurs de noms ? Ajoute alors l'enregistrement auprès de l'entreprise qui gère ton DNS.

Comment vérifier que DKIM fonctionne ?

Vérifier qu'un enregistrement DKIM existe ne suffit pas. Cela ne te dit pas si ton serveur de messagerie signe vraiment tes e-mails, ni si la signature est correcte. Le vrai test : envoyer un e-mail et voir ce qu'en dit le destinataire.

Étape 1 : Envoie un e-mail depuis ta propre adresse vers une adresse chez un autre fournisseur, par exemple Gmail.

Étape 2 : Ouvre l'e-mail chez ce fournisseur. Dans Gmail, clique sur Plus (les trois points à côté de Répondre), puis sur Afficher l'original.

Étape 3 : Regarde la ligne DKIM en haut. Elle doit indiquer 'PASS' avec le domaine tondomaine.com, où tondomaine.com est ton propre nom de domaine.

Tu utilises un autre programme de messagerie ? Ouvre alors l'en-tête de l'e-mail. On l'appelle aussi la source ou l'original. Cherche la ligne Authentication-Results. Tu dois y voir dkim=pass, avec ton propre nom de domaine après header.i= ou header.d=.

• PASS, mais avec un autre nom de domaine ? Par exemple celui de ton outil de newsletter. Ce fournisseur signe alors avec son propre nom de domaine, pas avec le tien. Configure DKIM pour ton nom de domaine chez ce fournisseur, comme décrit plus haut.
• Autre chose, comme fail, none ou permerror ? L'e-mail n'a alors pas de signature, ou la signature n'est pas valide. Vérifie l'enregistrement DKIM du service qui a envoyé l'e-mail.

Tu préfères une note ? Envoie un e-mail à l'adresse que mail-tester.com t'indique. Tu obtiens une note sur 10. Le test vérifie aussi ta signature DKIM et ton enregistrement SPF. Pas de 10/10 ? Tu vois alors pourquoi, et tu peux améliorer ta note. Tu peux faire 3 tests gratuits par période de 24 heures.

Des questions ?

Tu ne sais pas si DKIM fonctionne pour ton nom de domaine ? Contacte-nous par WhatsApp, Telegram ou e-mail. Indique-nous ton nom de domaine, et nous y jetterons un œil.