DKIM (DomainKeys Identified Mail) garantit l'integrite des messages email. Contrairement a SPF qui verifie uniquement l'origine, DKIM prouve cryptographiquement que le contenu n'a pas ete modifie en transit.
Cette signature constitue une preuve irrefutable d'authenticite que les spammeurs ne peuvent pas falsifier.
Qu'est-ce que DKIM ?
DKIM est un protocole d'authentification qui utilise la cryptographie asymetrique pour signer les emails.
Principe de fonctionnement
Le mecanisme repose sur une paire de cles :
- Cle privee : conservee secretement sur le serveur d'envoi
- Cle publique : publiee dans le DNS
Processus de signature
Lors de l'envoi d'un email :
- Le serveur calcule une signature cryptographique basee sur les en-tetes et le corps
- La signature est incluse dans l'en-tete
DKIM-Signature - Le serveur destinataire recupere la cle publique via DNS
- Il verifie que la signature correspond au contenu recu
Elements signes
La signature DKIM couvre generalement :
- Les en-tetes critiques :
From,To,Subject,Date - Le corps du message
Notion de selecteur
Chaque signature est associee a un selecteur, permettant d'utiliser plusieurs cles simultanement pour un meme domaine. Cela facilite :
- La rotation des cles
- La delegation a des services tiers
Pourquoi DKIM est Essentiel
DKIM apporte des benefices uniques dans la strategie d'authentification email.
Garantie d'integrite
Les emails transitent par de nombreux serveurs intermediaires. DKIM assure au destinataire que le message recu est identique a celui envoye.
Renforcement de DMARC
DMARC exige qu'au moins SPF ou DKIM passe avec alignement de domaine. DKIM offre un alignement plus fiable car il signe le domaine From visible par l'utilisateur.
Portabilite de la reputation
Confiance accrue
Les fournisseurs de messagerie accordent une confiance accrue aux emails signes DKIM. Les etudes montrent une amelioration mesurable du placement en boite de reception.
Comment Configurer DKIM
La configuration DKIM se deroule en plusieurs etapes techniques.
Etape 1 : Generer la paire de cles
Utilisez OpenSSL pour generer vos cles :
# Generer la cle privee (2048 bits recommandes)
openssl genrsa -out private.key 2048
# Extraire la cle publique
openssl rsa -in private.key -pubout -out public.key
Etape 2 : Choisir un selecteur
Choisissez un nom de selecteur descriptif et unique :
selector2024marketingtransactional
Etape 3 : Publier la cle publique dans le DNS
Creez un enregistrement TXT avec le format suivant :
selecteur._domainkey.votredomaine.com TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A..."
La valeur contient :
v=DKIM1: version du protocolek=rsa: type de clep=...: cle publique encodee en base64
Etape 4 : Configurer le serveur d'envoi
La procedure varie selon votre infrastructure :
| Infrastructure | Configuration |
|---|---|
| Postfix | OpenDKIM |
| Exchange | Parametres DKIM natifs |
| Service tiers | Interface de configuration fournie |
Etape 5 : Tester la configuration
Verifiez votre configuration :
- Envoyez des emails a des adresses de test
- Examinez les en-tetes
DKIM-SignatureetAuthentication-Results - Utilisez des outils en ligne de verification DKIM
Bonnes Pratiques DKIM
Utiliser des cles robustes
Planifier la rotation des cles
Effectuez une rotation reguliere, idealement annuellement :
- Generez une nouvelle paire de cles avec un nouveau selecteur
- Publiez la nouvelle cle publique
- Configurez le serveur pour utiliser la nouvelle cle privee
- Apres propagation, supprimez l'ancienne cle
Signer les en-tetes critiques
Au minimum, signez :
FromToSubjectDateMIME-VersionContent-Type
Choisir la bonne canonicalisation
| Mode | Description |
|---|---|
relaxed/relaxed | Tolere les modifications mineures de formatage (recommande) |
simple/simple | Strict, peut causer des problemes avec certains relais |
Surveiller via DMARC
Analysez vos rapports DMARC pour detecter les echecs de signature DKIM et leurs causes.
Conclusion
DKIM apporte une couche d'authentification irremplacable en garantissant l'integrite cryptographique de vos emails. Une fois configure, DKIM fonctionne de maniere transparente.
Maintenez vos cles a jour et surveillez les resultats de verification pour garantir une protection continue.
WizStatus surveille la disponibilite de vos enregistrements DKIM DNS et vous alerte en cas de probleme d'accessibilite ou de configuration.
