Le guide complet 2026 pour vérifier vos e-mails, empêcher toute altération et lutter contre l'usurpation de nom de domaine. Le protocole DKIM est l'un des trois principaux protocoles d'authentification des e-mails, aux côtés d'SPF et de DMARC. Il utilise des signatures cryptographiques pour prouver qu'un e-mail a bien été autorisé par votre domaine et que son contenu n'a pas été modifié pendant le transit. Cela aide les serveurs de messagerie destinataires à distinguer les messages légitimes des e-mails falsifiés ou altérés, ce qui améliore à la fois la sécurité et la délivrabilité des e-mails. Dans ce guide, vous découvrirez ce qu’est le protocole DKIM, comment il fonctionne, comment publier et valider des enregistrements DKIM, comment résoudre les problèmes d’authentification courants, comment renouveler les clés de signature, et comment le protocole DKIM s’associe à l’ SPF et au DMARC pour protéger votre domaine. Générer des clés, publier des enregistrements, activer la signature Correction des sélecteurs, des signatures et de l'alignement Prendre en compte DKIM dans le calcul DMARC Vérifier, générer et valider les enregistrements DomainKeys Identified Mail (DKIM) est un protocole d'authentification des e-mails qui utilise la cryptographie à clé publique pour vérifier qu'un e-mail provient bien de votre domaine et qu'il n'a pas été modifié après son envoi. Au lieu de se fier uniquement à l'adresse IP du serveur expéditeur, DKIM ajoute une signature numérique unique à chaque e-mail sortant. Lorsqu'un serveur de messagerie destinataire reçoit votre message, il récupère votre clé publique via le DNS et l'utilise pour valider la signature. Si la signature correspond, le message passe l'authentification DKIM. Le protocole DKIM fonctionne à l'aide d'une paire de clés cryptographiques : une clé privée et une clé publique. La clé privée est conservée en toute sécurité sur votre serveur de courrier sortant ou chez votre fournisseur de messagerie. À chaque envoi d'un e-mail, cette clé privée génère une signature numérique unique à partir d'éléments spécifiques du message, tels que le corps du message et certains en-têtes. La signature est ensuite ajoutée à l'e-mail sous la forme d'un en-tête « DKIM-Signature ». Lorsque l'e-mail parvient au destinataire, son serveur de messagerie extrait le domaine de signature et le sélecteur de l'en-tête, récupère la clé publique correspondante à partir de vos enregistrements DNS, puis vérifie la signature. Si tout correspond, le contrôle DKIM est réussi. Si l'e-mail a été modifié après la signature ou si la signature ne peut pas être vérifiée, l'authentification échoue. Une clé publique DKIM est publiée sous la forme d'un enregistrement TXT DNS. Cet enregistrement indique aux serveurs de messagerie destinataires comment vérifier la signature associée à vos e-mails. Un enregistrement DKIM de base se présente comme suit : Un sélecteur DKIM permet d'identifier la clé publique à utiliser pour valider une signature de courrier électronique spécifique. Au lieu de publier une seule clé DKIM pour l'ensemble d'un domaine, les organisations peuvent créer plusieurs sélecteurs pointant vers différentes clés. Cela permet à différents fournisseurs de messagerie, applications ou services d'utiliser des clés de signature distinctes sans interférer les uns avec les autres. Par exemple, il se peut que votre plateforme marketing signe les e-mails à l'aide d'un sélecteur, tandis que Microsoft 365 en utilise un autre. Un sélecteur type se présente comme suit : La mise en place de DKIM implique de générer une paire de clés, de publier la clé publique dans le DNS et de configurer votre service de messagerie pour qu'il signe les messages sortants à l'aide de la clé privée correspondante. La procédure exacte varie légèrement selon votre fournisseur de messagerie, mais le déroulement général reste le même. Le générateur gratuit d'enregistrements DKIM de PowerDMARC crée une paire de clés publique/privée en quelques secondes, vous permettant ainsi de générer un enregistrement DKIM précis que vous pouvez publier directement dans votre DNS. Il prend en charge les clés de 2 048 bits recommandées et élimine les erreurs de formatage qui sont souvent à l'origine des échecs d'authentification DKIM. Une fois votre enregistrement DKIM publié, l'étape suivante consiste à vérifier qu'il fonctionne comme prévu. Cela implique de s'assurer que votre service de messagerie génère correctement les signatures DKIM et que les serveurs de messagerie destinataires parviennent à les valider. Vous pouvez également consulter manuellement les en-têtes des messages dans Gmail, Outlook ou Apple Mail afin de vérifier les résultats de l'authentification DKIM. Au lieu de vérifier chaque élément manuellement, vous pouvez valider votre configuration DKIM en une seule fois. L'outil gratuit DKIM Checker de PowerDMARC vérifie que votre enregistrement DNS est correctement publié, valide votre sélecteur et votre clé publique, s'assure que vos e-mails sont bien signés et signale les problèmes de configuration susceptibles d'affecter l'authentification ou la délivrabilité. Même lorsque le protocole DKIM est configuré, des échecs d'authentification peuvent se produire en raison d'erreurs de configuration DNS, de clés périmées, de sélecteurs incorrects ou de modifications apportées aux messages pendant leur transit. La plupart des problèmes ne sont pas dus au protocole DKIM lui-même, car bon nombre d'entre eux résultent d'une dérive de configuration ou de modifications apportées à l'infrastructure. Voici un bref aperçu des erreurs DKIM les plus courantes et des étapes à suivre pour les résoudre : Si DKIM cesse soudainement de fonctionner après un changement de fournisseur de messagerie ou une mise à jour du DNS, vérifiez que vous utilisez le bon sélecteur, que votre clé publique a bien été propagée et que votre plateforme de messagerie signe bien les e-mails sortants. Une signature DKIM valide ne signifie pas automatiquement qu'un e-mail est conforme à DMARC. Le protocole DMARC nécessite un alignement, ce qui signifie que le domaine utilisé pour signer l'e-mail (le Par exemple : Même si la signature DKIM est validée, le contrôle DMARC peut tout de même échouer si le domaine signataire ne correspond pas au domaine « De ». DMARC prend en charge deux modes d'alignement : De nombreuses organisations ont recours à des plateformes de messagerie tierces pour leurs lettres d'information, leurs e-mails transactionnels ou leurs campagnes marketing. Si ces services signent les messages en utilisant leur propre domaine plutôt que le vôtre, le contrôle DKIM est réussi, mais le contrôle DMARC échoue en raison d'un décalage. La configuration d'une signature DKIM personnalisée pour chaque fournisseur permet de garantir que l'authentification aboutit systématiquement. L'efficacité du protocole DKIM dépend en grande partie de la clé cryptographique utilisée pour signer vos e-mails. Alors que les clés RSA de 1 024 bits constituaient autrefois la norme, les recommandations actuelles en matière de sécurité privilégient les clés RSA de 2 048 bits, qui offrent une protection plus efficace contre les attaques par force brute et sont conformes aux meilleures pratiques en vigueur dans le secteur. Une rotation régulière des clés permet de limiter les conséquences de la compromission d'une clé privée et aide les organisations à maintenir de bonnes pratiques en matière de sécurité des e-mails. L'utilisation de sélecteurs permet d'assurer une transition en douceur, car les anciennes et les nouvelles clés peuvent coexister pendant la période de migration. Les organisations qui gèrent plusieurs domaines ou fournisseurs de messagerie automatisent souvent ce processus afin de réduire la charge opérationnelle et d'éliminer le risque de clés DKIM obsolètes ou oubliées. SPF, DKIM et DMARC sont des protocoles complémentaires conçus pour répondre à différents aspects de l'authentification des e-mails. Plutôt que de privilégier un protocole plutôt qu'un autre, les entreprises devraient les déployer tous les trois. Par exemple : Ensemble, ils offrent une protection nettement plus efficace contre les attaques par usurpation d'adresse, hameçonnage et usurpation d'identité que n'importe quel protocole pris isolément. La gestion du protocole DKIM auprès de plusieurs fournisseurs de messagerie devient de plus en plus complexe à mesure que les entreprises se développent. Les différentes plateformes marketing, les systèmes CRM, les services d'assistance et les services de messagerie transactionnelle nécessitent souvent des sélecteurs DKIM distincts, des enregistrements DNS uniques et une rotation périodique des clés. Le service DKIM hébergé simplifie ce processus en centralisant la gestion du protocole DKIM, en réduisant la maintenance manuelle du DNS et en aidant les organisations à garantir une authentification fiable sur toutes les plateformes d'envoi. Si vous gérez le protocole DKIM sur plusieurs domaines ou fournisseurs de messagerie, la rotation manuelle des clés peut rapidement devenir difficile à gérer. La solution Hosted DKIM de PowerDMARC vous permet de gérer les sélecteurs, de faire tourner les clés de signature et de mettre à jour les enregistrements DKIM depuis un tableau de bord centralisé, après une configuration DNS unique. Vous réduisez ainsi les interventions manuelles tout en garantissant une authentification cohérente sur l'ensemble de votre infrastructure de messagerie. Le respect de quelques bonnes pratiques opérationnelles peut améliorer considérablement tant la fiabilité de l'authentification que la facilité de maintenance à long terme. Une surveillance régulière est tout aussi importante que la configuration initiale. Les fournisseurs de messagerie modifient leurs configurations, les enregistrements DNS évoluent et de nouveaux services d'envoi apparaissent au fil du temps. Des audits périodiques permettent de s'assurer que le protocole DKIM continue de protéger votre domaine à mesure que votre infrastructure de messagerie se développe. Le protocole DKIM joue un rôle essentiel dans l'authentification moderne des e-mails, car il permet aux serveurs de messagerie destinataires de vérifier que vos e-mails proviennent bien de votre domaine et qu'ils n'ont pas été modifiés pendant leur transit. Bien qu'il s'agisse d'une couche de protection indispensable contre l'usurpation d'identité et le hameçonnage, le protocole DKIM est particulièrement efficace lorsqu'il est déployé conjointement avec le protocole « SPF » et appliqué via DMARC. Que vous configuriez DKIM pour la première fois, que vous résolviez des problèmes d'authentification ou que vous gériez plusieurs plateformes de messagerie, le maintien de registres DKIM en bon état doit être un processus continu. Une validation régulière, la rotation des clés et la surveillance permettent de garantir l'efficacité de l'authentification de vos e-mails à mesure que votre infrastructure évolue. Utilisez l'outil gratuit de vérification DKIM de PowerDMARC pour valider votre configuration, générez de nouveaux enregistrements DKIM à l'aide du générateur d'enregistrements DKIM et simplifiez la gestion continue de vos clés grâce à Hosted DKIM si vous sécurisez plusieurs domaines ou services de messagerie. Prenez le contrôle de l'authentification de vos e-mails grâce aux outils DKIM gratuits de PowerDMARC. Vérifiez instantanément votre domaine, générez une nouvelle paire de clés ou découvrez l'ensemble de la plateforme. Protégez vos e-mails contre toute altération et ayez pleinement confiance en votre configuration. Aucune inscription requise. Vérifiez instantanément l'enregistrement DKIM de votre domaine, validez votre sélecteur et votre clé publique, et identifiez d'éventuels problèmes de configuration. Générez une paire de clés publique/privée et un enregistrement DKIM valide en quelques secondes, sans avoir à le configurer manuellement. PowerDMARC vous aide à passer de la simple visibilité à une protection totale, sans avoir à vous poser de questions. De la génération et de la rotation des clés DKIM à l'application des politiques DMARC et à l'analyse de rapports détaillés, la plateforme vous offre un contrôle total sur l'authentification de vos e-mails. Même si vous gérez plusieurs domaines et fournisseurs, PowerDMARC simplifie la surveillance, l'application des politiques, la création de rapports et la gestion multi-domaines depuis un tableau de bord centralisé. La plateforme est conçue dans un souci de sécurité et de conformité de niveau entreprise, et répond aux normes SOC 2, ISO 27001 et RGPD, afin que vos données restent protégées à mesure que la sécurité de votre messagerie électronique évolue. Les clients font confiance à PowerDMARC non seulement pour sa profondeur, mais aussi pour sa clarté. « PowerDMARC est un outil très puissant et complet qui simplifie considérablement le travail quotidien de surveillance de l'authentification des e-mails et des fonctionnalités de sécurité. Il offre une visibilité et une clarté qu'il serait autrement difficile d'obtenir. Je recommande vivement PowerDMARC à tous ceux qui souhaitent renforcer la sécurité de leur messagerie électronique ! » Pour les équipes internationales, l'accessibilité est également importante. « PowerDMARC résout les difficultés liées à la gestion de plusieurs protocoles de sécurité des e-mails. Il ne s'agit pas simplement de passer à une politique « p=reject » ; cette solution offre une approche globale en hébergeant également DKIM et DMARC. Ce que j'apprécie le plus chez PowerDMARC, c'est sa prise en charge complète de la langue japonaise, ce qui rend la plateforme bien plus accessible et plus facile à gérer par rapport à d'autres outils. » Alors, si vous êtes prêt à mettre fin à la falsification des messages, à améliorer la délivrabilité et à bénéficier d'une visibilité totale sur la manière dont les e-mails de votre domaine sont signés, PowerDMARC vous offre les outils et l'assistance nécessaires pour y parvenir. Non. Le protocole DKIM ne crypte pas les e-mails et ne protège pas leur contenu contre toute lecture non autorisée. Il permet de vérifier que le message n'a pas été modifié après sa signature. Oui. L'authentification par le nom de domaine ( SPF ) et le protocole DKIM répondent à des besoins différents. L'authentification par le nom de domaine ( SPF ) authentifie le serveur expéditeur, tandis que le protocole DKIM authentifie le message lui-même. L'utilisation conjointe de ces deux méthodes offre une protection renforcée et améliore la conformité à la norme DMARC. Oui. DKIM fonctionne indépendamment de DMARC, mais c'est DMARC qui assure l'application des politiques d'authentification et la conformité. Le déploiement de DKIM sans DMARC permet l'authentification, mais n'indique pas aux serveurs destinataires comment traiter les messages rejetés. La plupart des organisations procèdent à la rotation des clés DKIM tous les 6 à 12 mois, ou immédiatement après un incident suspecté de compromission. Dans les environnements hautement sécurisés, la rotation des clés peut être plus fréquente. Oui. Les organisations publient généralement plusieurs sélecteurs DKIM pour différents fournisseurs de messagerie ou lors de la rotation des clés. Chaque sélecteur fait référence à une clé publique distincte, ce qui permet à plusieurs configurations de signature de coexister en toute sécurité.
Guide DKIM : qu'est-ce que c'est, comment ça fonctionne et comment le configurer
Points clés à retenir
Tout savoir sur le DKIM
Table des matières
Qu'est-ce que DKIM ?
Fonctionnement de DKIM
Explication de la syntaxe de l'enregistrement DKIM
v=DKIM1 ; k=rsa ; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCA...
Explication des sélecteurs DKIM
selector1._domainkey.example.com
Comment configurer DKIM
Guides de configuration spécifiques à chaque fournisseur
Vous avez besoin de créer un enregistrement DKIM ?
Comment vérifier et valider DKIM
Une validation DKIM approfondie devrait permettre de vérifier que :
Tout valider en une seule analyse
Erreurs courantes liées au protocole DKIM et comment les résoudre
Erreur Actualités Guide de dépannage Aucun enregistrement DKIM trouvé Le serveur destinataire n'a pas pu trouver votre clé publique dans le DNS. Aucun enregistrement DKIM trouvé Sélecteur introuvable L'e-mail fait référence à un sélecteur qui n'existe pas dans le DNS. Comment trouver un sélecteur DKIM La signature DKIM n'est pas valide L'e-mail a été modifié après la signature ou la signature est incorrecte. Corriger la signature DKIM non valide Erreur permanente DKIM Un problème lié au DNS ou à la configuration empêche la vérification. Comment résoudre l'erreur « DKIM PermError » DKIM : aucun L'e-mail n'était pas signé du tout. DKIM : aucun ; message non signé Échec de la vérification DKIM Le domaine de signature ne correspond pas à l'adresse « De » affichée. Correction de l'alignement DKIM selon la norme RFC 5322 Alignement DKIM et DMARC
d= (valeur figurant dans la signature DKIM) doit correspondre au domaine indiqué dans l'adresse « De : » visible, ou être un sous-domaine approuvé de ce domaine.
Mode Description Détendu (adkim=r) Les sous-domaines sont considérés comme alignés. Strict (adkim=s) Les domaines doivent correspondre exactement. Longueurs des clés DKIM
Longueur de la clé Recommandation RSA à 1 024 bits Ancien. Pris en charge par de nombreux fournisseurs, mais progressivement en voie de disparition. RSA à 2048 bits Recommandé pour la plupart des organisations. Ed25519 Les nouveaux algorithmes offrant une sécurité renforcée avec des clés de taille réduite ont été pris en charge. Rotation des clés DKIM
Un processus de rotation type comprend les étapes suivantes :
DKIM, SPF et DMARC
Protocole Objectif principal SPF Vérifie que le serveur expéditeur est autorisé à envoyer des e-mails pour un domaine. DKIM Vérifie que l'e-mail n'a pas été modifié après sa signature. DMARC Aligne les champs « SPF » et « DKIM » avec l'adresse « De » visible et indique aux destinataires comment gérer les échecs.
DKIM hébergé
Sans gestion centralisée, on perd facilement de vue :
Centraliser le protocole DKIM pour tous les expéditeurs
Meilleures pratiques DKIM
Renforcez l'authentification de vos e-mails grâce à DKIM
Outils gratuits de PowerDMARC
Vérificateur d'enregistrements DKIM
Caractéristiques principales :
Générateur d'enregistrements DKIM
Caractéristiques principales :
Sécurisez votre messagerie. Mettez en œuvre les protocoles DKIM et DMARC en toute confiance.
Foire aux questions
Le protocole DKIM crypte-t-il les e-mails ?
Ai-je besoin de DKIM si j'utilise déjà SPF?
Le protocole DKIM peut-il fonctionner sans DMARC ?
À quelle fréquence faut-il renouveler les clés DKIM ?
Puis-je avoir plusieurs enregistrements DKIM ?
Qu'est-ce que le DKIM ?
Comment fonctionne le DKIM
Syntaxe des enregistrements DKIM
Sélecteurs DKIM
Comment configurer DKIM
Vérifier et valider DKIM
Erreurs DKIM courantes
Alignement DKIM et DMARC
Longueurs des clés DKIM
Rotation des clés DKIM
DKIM, SPF et DMARC : comparaison
DKIM hébergé
Meilleures pratiques DKIM
Foire aux questions
Microsoft 365
Amazon SES
SendGrid
Mailchimp
HubSpot
Salesforce
Arme à feu
Zoho
Shopify
Cloudflare
GoDaddy
cPanel
Namecheap
Brevo
Squarespace
Le cachet de la poste
ActiveCampaign
MailerLite
Utiliser des clés RSA de 2 048 bits
Offre une protection cryptographique renforcée.
Changez régulièrement de clés
Réduit le risque de compromission des clés de signature.
Utilisez des sélecteurs distincts pour chaque fournisseur
Simplifie la gestion et le dépannage.
Supprimer les sélecteurs inutilisés
Réduit la surface d'attaque inutile.
Valider DKIM après les modifications du DNS
Confirme que les signatures continuent d'être vérifiées correctement.
Vérifiez régulièrement l'authentification
Détecte les défaillances avant qu'elles n'affectent la délivrabilité.
Vérifier régulièrement l'infrastructure de messagerie électronique
Identifie les fournisseurs obsolètes et les enregistrements DNS périmés.
SOC 2
ISO 27001
RGPD