Configurer DKIM pour votre domaine

Si l'analyse n'a pas trouvé de clé DKIM aux sélecteurs testés, vérifiez la configuration de votre fournisseur de messagerie. D'autres sélecteurs peuvent être utilisés ; ce résultat ne prouve pas que les messages sortants ne sont pas signés.

Ce que signifie ce constat

DKIM (DomainKeys Identified Mail) permet à un système d'envoi d'ajouter une signature numérique à un message lorsque la signature est configurée. La signature est générée avec une clé privée détenue par votre serveur de messagerie, et vérifiée par les serveurs destinataires avec une clé publique que vous publiez dans le DNS. Si la signature ne correspond pas, ou n'existe pas, le serveur destinataire n'a aucune preuve cryptographique que l'e-mail vient de vous.

Sans DKIM, les e-mails usurpés sont beaucoup plus difficiles à détecter, et votre politique DMARC ne peut pas atteindre p=reject en toute sécurité (l'authentification DKIM résiste au transfert des e-mails, contrairement à SPF).

Pourquoi c'est important

• Les e-mails sans DKIM ont plus de chances d'arriver dans les spams
• DKIM est nécessaire, en plus de SPF, avant de pouvoir passer en toute sécurité à une politique DMARC p=reject
• Depuis 2024, Google et Yahoo exigent DKIM pour les expéditeurs en masse
• DKIM est l'un des principaux signaux utilisés par les filtres anti-spam pour évaluer la réputation d'un expéditeur

Configurer DKIM selon votre plateforme de messagerie

Microsoft 365

1. Accédez à security.microsoft.com → Email & collaboration → Policies & rules → Threat policies → Email authentication settings → DKIM
2. Sélectionnez votre domaine personnalisé dans la liste
3. Microsoft vous indique deux enregistrements CNAME à publier : copiez-les tous les deux à l'identique
4. Connectez-vous chez votre fournisseur DNS et ajoutez les deux enregistrements CNAME
5. Revenez sur la page des paramètres DKIM et cliquez sur Activer pour activer la signature
6. Prévoyez jusqu'à 48 heures pour la propagation DNS

Google Workspace

1. Accédez à admin.google.com → Apps → Google Workspace → Gmail → Authenticate email
2. Sélectionnez votre domaine et cliquez sur Générer un nouvel enregistrement ; choisissez une clé de 2048 bits si votre fournisseur DNS la prend en charge
3. Copiez le nom et la valeur de l'enregistrement TXT affichés
4. Ajoutez l'enregistrement TXT chez votre fournisseur DNS, au sélecteur indiqué (par exemple google._domainkey.yourdomain.com)
5. Revenez dans la console d'administration Google et cliquez sur Démarrer l'authentification

Autres plateformes (Mailchimp, SendGrid, Resend, etc.)

La plupart des plateformes proposent une section de configuration DKIM dans leurs paramètres d'authentification de domaine ou de domaines d'envoi. La procédure est la suivante :

1. La plateforme génère une paire de clés publique/privée et vous indique les enregistrements DNS à ajouter
2. Ajoutez ces enregistrements (TXT ou CNAME) chez votre fournisseur DNS
3. Revenez sur la plateforme pour vérifier / activer

À quoi ressemble l'enregistrement DNS

Les enregistrements DKIM sont des enregistrements TXT publiés sur un sous-domaine de sélecteur :

selector._domainkey.yourdomain.com

La valeur est une longue chaîne de clé publique générée par votre plateforme de messagerie. Vous ne pouvez pas l'écrire vous-même : elle doit être générée par votre fournisseur de messagerie.

Vérifier que cela fonctionne

Analysez votre domaine sur mydomainrisk.com : le constat DKIM apparaîtra comme résolu dès que votre enregistrement sera détecté. La propagation DNS peut prendre jusqu'à 48 heures.