Vous devez vérifier une clé DKIM, la renouveler, ou comprendre pourquoi des signatures échouent, et la première chose que demande chaque outil, c'est le sélecteur, un nom court que personne n'a noté. Le sélecteur détermine quel enregistrement DNS contient la clé publique : sans lui, impossible de retrouver l'enregistrement. Ce guide montre comment lire le sélecteur dans un vrai message, quoi essayer quand vous n'avez pas de message, quelle longueur donner à votre clé, et comment renouveler une clé sans interruption de signature.
La réponse en bref#
Le sélecteur est la valeur de la balise s= dans l'en-tête DKIM-Signature de n'importe quel message envoyé par votre domaine. Ouvrez les en-têtes complets d'un message, repérez DKIM-Signature:, et lisez s= pour le sélecteur et d= pour le domaine signataire. La clé publique se trouve alors dans un enregistrement TXT à selector._domainkey.d, par exemple mail._domainkey.example.com. Sans message sous la main, demandez à votre fournisseur d'envoi l'enregistrement DNS qu'il vous a demandé de publier, car le sélecteur en est la première partie du nom. Votre clé devrait être une RSA 2048 bits : la RFC 8301 exige au moins 1024 bits et dit que les signataires devraient utiliser au moins 2048. L'analyseur d'en-têtes d'e-mail indique si DKIM a réussi et si une signature est présente, mais vous lisez vous-même s= et d= sur la ligne DKIM-Signature. Confirmez ensuite le côté DNS avec le vérificateur SPF, DKIM et DMARC.
Lire le sélecteur dans l'en-tête d'un message#
Envoyez-vous un e-mail depuis chaque système qui envoie en tant que votre domaine, comme votre fournisseur de messagerie, votre plateforme marketing, votre service transactionnel et votre helpdesk. Ouvrez la source originale ou les en-têtes de la copie reçue. Dans Gmail, utilisez le menu du message et choisissez « Afficher l'original ». Repérez la ligne qui commence par DKIM-Signature:.
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
d=example.com; s=mail2026; t=1730700000;
h=from:to:subject:date; bh=...; b=...
Ici, d=example.com est le domaine qui a signé et s=mail2026 est le sélecteur. La clé se trouve donc à :
mail2026._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
Interrogez-la directement pour confirmer :
dig +short TXT mail2026._domainkey.example.com
Deux points d'attention. Un message peut porter plus d'une DKIM-Signature, par exemple une de votre propre domaine et une du domaine du service d'envoi. Regardez chaque valeur d=. Et vérifiez si d= est bien votre domaine. De nombreuses plateformes signent par défaut avec leur propre domaine, ce qui passe DKIM mais ne s'aligne pas avec votre adresse From pour DMARC. Si d= n'est pas vous, l'expéditeur n'est pas encore configuré pour votre domaine, et les échecs d'alignement qui en découlent se confondent facilement avec un problème de DNS.
Que faire quand vous n'avez pas de message#
Parfois il n'y a rien à ouvrir : vous avez hérité d'un domaine, l'expéditeur est en sommeil, ou vous voulez auditer avant d'envoyer. Vous avez trois options.
- Consultez la page de configuration du fournisseur. Quand vous avez authentifié un domaine auprès d'un expéditeur, il vous a demandé de publier un CNAME ou un enregistrement TXT. Son nom commence par le sélecteur, par exemple
selector._domainkey. Cet enregistrement, toujours présent dans votre zone DNS, est la réponse. - Lisez votre zone DNS. Cherchez les noms qui se terminent par
._domainkey. L'étiquette qui précède est un sélecteur. La liste des enregistrements de votre hébergeur DNS, ou un export de zone, les montre tous, ce qui est le seul endroit où vous pouvez énumérer ce qui existe. - Devinez à partir de noms courants. Les fournisseurs utilisent des valeurs par défaut prévisibles, et un outil peut les essayer pour vous. La surveillance de la santé du domaine de Qualisend sonde 25 noms courants quand vous n'avez configuré aucun sélecteur :
google,selector1,selector2,k1,k2,s1,s2,dkim,default,mail,smtp,mandrill,sendgrid,krs,protonmail,zendesk1,zendesk2,mxvault,everlytickey1,hs1,hs2,pm,fm1,fm2etfm3. Un résultat positif vous dit qu'une clé existe. Un échec ne vous dit rien, car les sélecteurs personnalisés commemail2026échappent à toute devinette.
Deviner est un dernier recours. Tout ce sur quoi vous comptez doit être consigné avec son sélecteur, ce qui explique pourquoi la première étape d'une routine de santé du domaine est de lister chaque expéditeur et son sélecteur.
Anatomie d'un enregistrement de clé DKIM#
L'enregistrement dans le DNS est une liste de balises, et il est utile de savoir à quoi sert chacune.
| Balise | Signification | Ce qu'il faut regarder |
|---|---|---|
v=DKIM1 | Version | Facultative, mais si elle est présente elle doit valoir DKIM1 |
k= | Type de clé | Vaut rsa par défaut ; ed25519 se rencontre aussi |
p= | Clé publique, en base64 | Doit contenir des données. Un p= vide signifie que la clé est révoquée |
t=y | Indicateur de test | Indique que le domaine est en phase de test DKIM ; retirez-le une fois en production |
De nombreux fournisseurs publient un CNAME au nom du sélecteur qui pointe vers une clé qu'ils hébergent, de sorte que l'enregistrement que vous voyez peut être un alias. C'est normal : cela permet au fournisseur de renouveler les clés pour vous. Cela signifie aussi que si le fournisseur supprime la cible, votre sélecteur cesse de se résoudre en silence.
Longueur de clé : 1024 ou 2048#
La RFC 8301 fixe les règles. Les signataires doivent utiliser des clés RSA d'au moins 1024 bits et devraient en utiliser au moins 2048. Les vérificateurs ne doivent pas considérer comme valides les clés de moins de 1024 bits. Les recommandations de Google pour les expéditeurs vont dans le même sens : 1024 est le minimum, 2048 est recommandé. Une clé de 1024 bits fonctionne donc encore, et c'est précisément pourquoi elle survit souvent des années ; c'est la première chose à mettre à niveau.
Il y a un détail pratique. Une clé publique de 2048 bits est plus longue que les 255 caractères qu'une seule chaîne DNS peut contenir. L'enregistrement doit être publié sous forme de plusieurs chaînes entre guillemets au sein d'un même enregistrement TXT, que le DNS recolle.
mail2026._domainkey.example.com. TXT ( "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
"...rest-of-the-key..." )
La plupart des hébergeurs DNS le font automatiquement quand vous collez la valeur complète, mais pas tous, et les échecs sont discrets : une clé tronquée ou contenant des caractères parasites échoue à la vérification même si l'enregistrement existe. Après publication, interrogez-le et comparez la longueur. Les guides par hébergeur DNS montrent comment chacun gère les longues valeurs.
Si un service génère votre clé, vous choisissez en général la longueur dans ses paramètres à la création, et la changer implique de générer une nouvelle clé et un nouveau sélecteur, c'est-à-dire une rotation.
Renouveler une clé sans interruption#
La rotation consiste à remplacer une clé par une nouvelle sur un nouveau sélecteur. Aucune loi ne dit à quelle fréquence. Notre conseil, que nous assumons : renouvelez quand une clé fait moins de 2048 bits, quand une personne ayant accès à la clé privée part, après toute exposition suspectée, et sinon selon un calendrier que votre équipe tiendra vraiment, comme une ou deux fois par an. La procédure compte plus que la cadence.
- Générez la nouvelle clé chez votre fournisseur, ou sur votre propre serveur de messagerie, avec un nouveau nom de sélecteur, par exemple
mail2027. Ne réutilisez jamais l'ancien nom. - Publiez le nouvel enregistrement dans le DNS et attendez que les résolveurs publics le renvoient. Vérifiez avec
digavant de faire quoi que ce soit d'autre. - Basculez la signature vers le nouveau sélecteur dans le système d'envoi. À partir de là, les messages portent
s=mail2027. - Laissez l'ancien enregistrement en place un moment. Des messages signés avec l'ancienne clé peuvent encore être en transit ou en file d'attente, et les destinataires vérifient à la réception, pas à l'envoi. Une semaine est un délai courant et prudent.
- Retirez l'ancienne clé en supprimant l'enregistrement, ou publiez-le avec un
p=vide pour montrer qu'elle est révoquée volontairement. - Confirmez en envoyant un message de test et en vérifiant que
s=affiche le nouveau sélecteur et que DKIM passe.
L'erreur la plus fréquente est de faire l'étape 5 avant l'étape 3, ou de sauter complètement l'étape 2, ce qui signifie des e-mails signés avec un sélecteur qui n'a pas de clé.
Surveiller un sélecteur dans la durée#
Un enregistrement DKIM se casse facilement et personne ne s'en aperçoit. Une ancienne clé supprimée trop tôt, un CNAME dont la cible a disparu, une clé révoquée par un nettoyage trop zélé : chaque cas laisse les e-mails signés avec un sélecteur qui ne se résout plus. La surveillance de la santé du domaine vous permet de lister jusqu'à 10 sélecteurs DKIM par domaine et de les contrôler chaque jour. Pour chacun, elle confirme qu'une clé est présente, lit la taille de la clé RSA, et signale une clé absente ou révoquée comme un problème « bad », une clé de 1024 bits comme un avertissement, toute taille inférieure comme « bad », et l'indicateur de test t=y comme un avertissement. Si vous n'en configurez aucun, elle se rabat sur les 25 noms courants ci-dessus et avertit quand aucun ne donne de clé.
Pensez à la conséquence pour la rotation. Une fois un ancien sélecteur retiré, enlevez-le aussi de la liste surveillée, sinon il signalera une clé manquante. Et une limite : elle lit le DNS, elle ne peut donc pas voir avec quel sélecteur votre courrier signe réellement, et elle n'alerte pas sur l'âge des clés. La vue d'ensemble, SPF et DMARC compris, se trouve dans la surveillance de la santé du domaine e-mail, et le volet SPF des mêmes contrôles dans SPF : trop de lookups DNS. Configurer DMARC explique comment l'alignement utilise le domaine d=.
Foire aux questions
02Quelle longueur de clé DKIM utiliser ?
Utilisez une RSA de 2048 bits. La RFC 8301 exige que les signataires utilisent au moins 1024 bits et dit qu'ils devraient en utiliser au moins 2048, et Google recommande 2048. Une clé de 1024 bits fonctionne encore, mais c'est la première à mettre à niveau.
03À quelle fréquence renouveler les clés DKIM ?
Aucun intervalle n'est imposé. Renouvelez quand une clé fait moins de 2048 bits, quand une personne ayant accès part, après une exposition suspectée, et sinon selon un calendrier que vous tiendrez, comme une ou deux fois par an. Faites coexister l'ancienne et la nouvelle clé.
04Puis-je lister tous les sélecteurs DKIM d'un domaine ?
Non. Le DNS ne permet pas de lister les noms sous _domainkey. Vous pouvez lire les sélecteurs dans les en-têtes de messages, les pages de configuration de vos expéditeurs ou votre zone DNS, et un vérificateur ne peut que deviner des noms courants : les sélecteurs personnalisés ne seront donc pas trouvés.
DKIM prouve qu'un message vient bien de votre domaine, mais pas que l'adresse à l'autre bout est réelle. Le vérificateur d'e-mails gratuit teste une adresse à la fois (syntaxe, MX, fautes de frappe). Pour nettoyer une liste entière, l'offre gratuite de la page des tarifs inclut 100 crédits qui lancent la vérification complète, car un message correctement signé a encore besoin d'une liste saine pour mériter la boîte de réception.
01Comment trouver mon sélecteur DKIM ?
Ouvrez les en-têtes complets d'un message envoyé par votre domaine et lisez la balise s= de l'en-tête DKIM-Signature. La clé est publiée à selector._domainkey.yourdomain.com. Sans message, consultez l'enregistrement DNS que votre expéditeur vous a demandé de publier.