Comment trouver votre sélecteur DKIM et gérer vos clés DKIM

Quel est le rôle de l'authentification des e-mails ? Elle bloque les messages usurpés, mais elle joue également un rôle essentiel dans la protection de la réputation de la marque et dans la garantie que les e-mails légitimes parviennent bien à leur destinataire. Parmi les principaux protocoles d'authentification, DKIM se distingue en ajoutant une signature cryptographique à chaque message, prouvant ainsi qu'il n'a pas été altéré pendant son transit.

Au cœur de DKIM se trouve le sélecteur DKIM. Bien qu’il soit souvent négligé, le sélecteur détermine quelle clé publique les serveurs destinataires doivent utiliser pour vérifier la signature de votre e-mail, ce qui le rend indispensable à la réussite de l’authentification DKIM entre différents flux de messagerie et fournisseurs.

Dans cet article, nous allons passer en revue tout ce que vous devez savoir sur les sélecteurs DKIM et résoudre les erreurs courantes qui peuvent compromettre l'authentification et nuire à la délivrabilité.

Qu'est-ce qu'un sélecteur DKIM ?

Un sélecteur DKIM est un identifiant unique utilisé dans l'authentification DKIM qui indique aux serveurs de messagerie destinataires quelle clé publique récupérer via le DNS pour vérifier la signature DKIM. Il permet à un domaine d'utiliser plusieurs clés DKIM simultanément, ce qui facilite la rotation et la gestion des clés sans interrompre la distribution des e-mails.

Exemple :

Signature DKIM : v=1 ; a=rsa-sha256 ; c=relaxed/relaxed ; d=example.com ; s=selector1 ; h=from:to:subject:date ; bh=abc123… ; b=xyz456…

Ici, « s= » désigne le sélecteur. Dans cet exemple, « s=selector1 » indique au serveur d'interroger :
selector1._domainkey.example.com

Comment fonctionne l'authentification DKIM (étape par étape)

Comme expliqué ci-dessus, DKIM fonctionne en ajoutant une signature cryptographique à chaque e-mail sortant envoyé depuis votre domaine compatible DKIM.

• Étape 1: Le serveur de messagerie émetteur signe l'e-mail sortant à l'aide d'une clé cryptographique privée. Cette signature est ajoutée à l'en-tête de l'e-mail, accompagnée d'un sélecteur DKIM qui identifie la clé utilisée.
• Étape 2: Le serveur de messagerie destinataire recherche la clé publique. Pour ce faire, il interroge le DNS à l'aide du sélecteur.
• Étape 3: Une fois la clé publique trouvée, le serveur destinataire l'utilise pour vérifier la signature dans l'en-tête de l'e-mail. Si la signature correspond, le contrôle DKIM est réussi, ce qui confirme que le message n'a pas été modifié pendant le transit et qu'il a été autorisé par le domaine expéditeur.

Notez toutefois que DKIM fonctionne mieux lorsqu'il est associé à SPF DMARC, et ne peut à lui seul empêcher l'usurpation d'identité et le phishing .

Comment trouver un sélecteur DKIM (méthodes étape par étape)

Méthode A : Inspecter les en-têtes des e-mails (manuel)

1) Envoyez un e-mail de test à votre compte Gmail
2) Cliquez sur les trois points situés à côté de l'e-mail dans votre boîte de réception Gmail

3) Sélectionnez "montrer l'original".

4) Sur la page "Original Message", naviguez vers le bas de la page jusqu'à la section de la signature DKIM et essayez de localiser la balise "s=", la valeur de cette balise est votre sélecteur DKIM.

Dans l'exemple ci-dessus, s1 est mon sélecteur DKIM. C'est l'une des méthodes que vous pouvez utiliser pour identifier et localiser le vôtre.

Méthode B : Utiliser les paramètres du fournisseur de messagerie électronique

Étape 1 : Connectez-vous à la console d'administration de votre fournisseur de services de messagerie électronique.

Étape 2 : Accédez à la section consacrée à l'authentification des e-mails ou à la configuration DNS.
Étape 3 : Recherchez les paramètres DKIM de votre domaine.
Étape 4 : Identifiez la valeur du sélecteur indiquée dans l'enregistrement TXT DKIM.

Méthode C : Utilisation des outils de recherche/vérification DKIM

Étape 1 : Ouvrez l'outil PowerDMARC DKIM Checker.

Étape 2 : Entrez votre nom de domaine et laissez le champ de sélection sur « auto ».

Étape 3 : Cliquez sur « Lookup » (Recherche)
Étape 4 : Laissez notre outil détecter et afficher automatiquement votre sélecteur DKIM.

Méthode D : Utilisation des outils de surveillance DMARC

Les outils de reporting DMARC tels que PowerDMARC offrent une visibilité sur les sélecteurs DKIM activement utilisés par les sources d'envoi.

Étape 1 : Activez les rapports agrégés DMARC pour votre domaine en vous inscrivant sur PowerDMARC.
Étape 2 : Examinez les résultats d'authentification pour chaque source d'envoi.
Étape 3 : Identifiez les valeurs du sélecteur DKIM signalées par source et par adresse IP.

Méthode E : Utilisation des outils en ligne de commande

Pour les utilisateurs avancés, les outils en ligne de commande permettent d'accéder directement aux enregistrements DNS et aux sélecteurs DKIM.

Utilisation de la commande dig :

Pour interroger un sélecteur DKIM spécifique :

dig TXT selector1._domainkey.example.com

À l'aide de la commande nslookup :

nslookup -type=TXT selector1._domainkey.example.com

Remarque : Vous devez connaître le nom du sélecteur à l'avance pour utiliser efficacement ces commandes.

Comment trouver un sélecteur DKIM chez différents fournisseurs de messagerie

Chaque fournisseur de messagerie propose des étapes spécifiques pour localiser les sélecteurs DKIM. Voici un guide complet pour les plateformes les plus courantes :

Gmail/Google Workspace

1. Connectez-vous à la Console d'administration Google
2. Accédez à Applications > Google Workspace > Gmail > Authentifier l'adresse e-mail
3. Cliquez sur « Générer un nouvel enregistrement » pour afficher le sélecteur
4. Le sélecteur se présente généralement sous la forme suivante : google._domainkey.votredomaine.com

Microsoft 365/Outlook

1. Accéder au Centre d'administration Microsoft 365
2. Allez dans Paramètres > Domaines > Sélectionnez votre domaine
3. Cliquez sur « Enregistrements DNS » et recherchez les entrées DKIM
4. Les sélecteurs sont généralement : selector1._domainkey et selector2._domainkey

Yahoo Mail

1. Accéder au panneau d'administration de Yahoo Small Business
2. Accédez à Paramètres du domaine > Authentification des e-mails
3. Consultez la configuration DKIM pour trouver le sélecteur
4. Format courant : s1024._domainkey.votredomaine.com

SendGrid

1. Connectez-vous au tableau de bord SendGrid
2. Accédez à Paramètres > Authentification de l'expéditeur
3. Cliquez sur « Authentifier votre domaine »
4. Format du sélecteur : s1._domainkey.votredomaine.com et s2._domainkey.votredomaine.com

Mailchimp

1. Accéder aux paramètres du compte Mailchimp
2. Accédez à Domaines > Vérifier un domaine
3. Consultez la section « Enregistrements DNS » pour les entrées DKIM
4. Format du sélecteur : k1._domainkey.votredomaine.com

Comment configurer et publier un sélecteur DKIM

La configuration correcte d'un sélecteur DKIM est essentielle pour l'authentification des e-mails, la réputation de l'expéditeur et la délivrabilité à long terme. Un sélecteur mal configuré peut complètement compromettre le DKIM, même si la clé elle-même est valide.

Format et syntaxe requis pour les enregistrements DNS

Un enregistrement DKIM est publié sous forme d'enregistrement TXT dans le DNS en utilisant la structure suivante : selector._domainkey.votredomaine.com

Exemple : s1._domainkey.exemple.com

La valeur comprend généralement :

• v=DKIM1 (version du protocole)
• k=rsa (type de clé)
• p = (clé publique)

Exemple de valeur : v=DKIM1 ; k=rsa ; p=MIIBIjANBgkq…
Assurez-vous qu'il n'y a il n'y a pas d'espaces, de guillemets ou de sauts de ligne ajoutés par le fournisseur DNS.

Recommandations relatives à la longueur des clés (2048 bits)

• Les clés DKIM 2048 bits sont fortement recommandées.
• Les clés 1024 bits sont obsolètes et peuvent échouer lors de l'authentification auprès des principaux fournisseurs de messagerie électronique.
• Des clés plus longues améliorent la puissance cryptographique sans nuire aux performances.

La plupart des plateformes de messagerie modernes utilisent par défaut des clés de 2048 bits. Il est recommandé de conserver cette option activée, sauf si une raison technique impérieuse s'y oppose.

Publication via le panneau du fournisseur DNS

1. Connectez-vous à votre fournisseur d'hébergement DNS.
2. Ajouter un nouvel enregistrement TXT
3. Définissez le hôte/nom comme sélecteur DKIM
4. Collez la clé publique DKIM dans le champ « valeur ».
5. Enregistrer et attendre la propagation
6. Vérifiez votre configuration DKIM à l'aide de notre outil DKIM Checker.

Enregistrements TXT et CNAME pour DKIM

Comprendre la différence entre les enregistrements TXT et CNAME pour DKIM facilite la mise en œuvre et le dépannage.

Enregistrements TXT (les plus courants)

• Contient la clé publique DKIM proprement dite
• Format : selector._domainkey.example.com TXT « v=DKIM1; k=rsa; p=MIIBIjAN… »
• À utiliser lorsque vous gérez vos propres clés DKIM

Enregistrements CNAME (gestion déléguée)

• Renvoie vers un autre domaine qui héberge la clé DKIM
• Format : selector._domainkey.example.com CNAME selector._domainkey.emailprovider.com
• À utiliser lorsque votre fournisseur de messagerie gère les clés DKIM
• Couramment utilisé avec des services tels que Google Workspace, Office 365 et SendGrid

Quand utiliser chaque type

• Enregistrements TXT : Serveurs de messagerie gérés en interne, implémentations DKIM personnalisées
• Enregistrements CNAME : Services de messagerie tiers, plateformes de messagerie gérées

Conventions de dénomination et exemples de sélecteurs DKIM

Choisir le bon nom de sélecteur améliore la clarté, l'évolutivité et la maintenance à long terme.

Modèles de sélection courants

Les formats fréquemment utilisés sont notamment : s1, s2, selector1 et les paramètres par défaut des fournisseurs tels que google, k1, smtp, mail. Bien que ceux-ci fonctionnent parfaitement, ils manquent souvent de contexte et peuvent être difficiles à suivre.

Meilleure pratique : noms de sélecteurs descriptifs

Utilisez plutôt des sélecteurs qui indiquent le service et la période, par exemple : google2025, sendgrid_q1, marketing_2024. Ceux-ci sont beaucoup plus faciles à mémoriser et à suivre, et fournissent un contexte précis, laissant peu de place aux conjectures tout en garantissant la sécurité.

Gestion des sélecteurs DKIM

L'un des aspects les plus souvent négligés du protocole DKIM est la gestion des sélecteurs au fil du temps. Les sélecteurs doivent être considérés comme des ressources à gérer, et non comme de simples entrées DNS ponctuelles que l'on oublie une fois la configuration effectuée.

La tenue d'un registre est une pratique simple mais très efficace. Un simple tableur ou un journal interne permet de suivre efficacement vos sélecteurs et vos calendriers de rotation. Cela évite toute confusion lorsque des clés doivent être renouvelées ou lorsqu'un service d'envoi est mis hors service.

Il suffit de tenir à jour un système de suivi simple (fichier CSV, tableur ou registre interne) comprenant :

• Nom du sélecteur
• Domaine
• Service d'envoi
• Longueur de clé
• Date de création
• Calendrier de rotation
• Propriétaire/équipe

Cycle de vie du sélecteur DKIM

Chaque sélecteur DKIM doit suivre un cycle de vie bien défini. Celui-ci commence par la phase de planification, au cours de laquelle sont définies les conventions de nommage et les calendriers de rotation.

Un cycle de vie sain comprend :

1. Plan: définir la stratégie de dénomination et de rotation
2. Publier: ajouter un enregistrement DNS et valider
3. Faire pivoter: introduire un nouveau sélecteur et une nouvelle clé
4. Mise hors service: supprimer les sélecteurs inutilisés en toute sécurité

Comment l'outil d'analyse DKIM de PowerDMARC peut vous aider

Les analyses DKIM hébergées de PowerDMARC Analyse DKIM hébergée comble cette lacune en offrant aux organisations une visibilité en continu sur les performances réelles de DKIM à travers les domaines, les sélecteurs et les sources d'envoi.

• Surveillance par sélecteur et par service d'envoi: PowerDMARC analyse les performances DKIM au niveau du sélecteur et du service d'envoi.
• Filtrage flexible par plage horaire: PowerDMARC vous permet d' d'analyser les performances DKIM sur des plages de temps flexibles telles que les sept derniers jours, le mois précédent ou des périodes entièrement personnalisées.
• Statistiques DKIM en un coup d'œil: Pour une évaluation rapide, PowerDMARC fournit un aperçu général de DKIM qui récapitule le nombre total de sélecteurs, les services d'envoi actifs, ainsi que le volume d'e-mails signés DKIM par rapport à ceux non signés.
• Informations détaillées au niveau des sélecteurs: Pour chaque sélecteur, PowerDMARC met en évidence des données clés telles que le volume total d'e-mails, les taux de réussite DKIM et la dernière fois où le sélecteur a été observé en train de signer un e-mail.
• Rapports exportables pour l'audit et la collaboration: PowerDMARC vous permet d'exporter les données d'analyse au format CSV, ce qui rend la création de rapports simple et flexible.
• Aperçu de l'état des clés DKIM: Les informations clés sur l'intégrité des clés comprennent la visibilité de la longueur des clés, le suivi de leur rotation et la surveillance de leur utilisation.

Meilleures pratiques pour les sélecteurs DKIM

Pour garantir le bon fonctionnement du sélecteur DKIM et optimiser la délivrabilité des e-mails, suivez ces bonnes pratiques :

Liste de contrôle des bonnes pratiques pour le sélecteur DKIM

Impact sur la délivrabilité

Une bonne gestion des sélecteurs DKIM a un impact direct sur la délivrabilité des e-mails, car :

• Garantir une authentification cohérente pour toutes les sources d'envoi
• Renforcer la réputation de l'expéditeur grâce à des signatures DKIM fiables
• Éviter les échecs d'authentification susceptibles de déclencher les filtres anti-spam
• Prise en charge de la conformité DMARC pour une protection optimale

Résolution des problèmes liés au sélecteur DKIM

Problèmes courants liés aux sélecteurs DKIM et leurs solutions :

Problème 1 : Sélecteur introuvable dans le DNS

Causes courantes: Ce problème peut être dû à des erreurs de syntaxe, à un type d'enregistrement DNS incorrect, à une propagation incomplète ou à une utilisation incorrecte du domaine ou du sous-domaine.
Dépannage: Laissez à votre DNS un délai de propagation de 24 à 48 heures si vous avez récemment configuré DKIM. Si le problème persiste, utilisez un outil de vérification DKIM pour contrôler votre enregistrement et corriger les erreurs détectées.

Problème n° 2 : plusieurs sélecteurs prêtant à confusion

Causes courantes: Un trop grand nombre de sélecteurs actifs peut compliquer les audits, et les sélecteurs inutilisés peuvent rester indéfiniment. Ce n'est pas une bonne pratique. De plus, une documentation insuffisante rend la responsabilité peu claire.
Résolution des problèmes: Supprimez les sélecteurs inutilisés en temps opportun et maintenez la documentation à jour afin de rendre les audits et le suivi précis et faciles.

Problème 3 : Incompatibilité du sélecteur

Causes courantes: L'en-tête DKIM fait référence à un sélecteur qui n'existe pas dans le DNS ou une clé a été renouvelée, mais le service d'envoi n'a pas été mis à jour.
Dépannage: Vérifiez toujours la cohérence entre la signature DKIM (valeur s=) et votre enregistrement DNS publié.

En conclusion

Dans cet article, nous avons appris que le sélecteur DKIM joue un rôle clé dans l'authentification DKIM et qu'il existe plusieurs méthodes, manuelles et automatiques, pour le trouver. Cependant, si vous souhaitez contrôler au maximum votre DKIM, cela ne suffit pas.

En associant l'analyse des performances à des données clés sur la santé des campagnes, PowerDMARC transforme le protocole DKIM, qui n'est plus une simple configuration statique, mais un contrôle de sécurité faisant l'objet d'une surveillance continue. Les équipes bénéficient ainsi de la visibilité nécessaire pour garantir la délivrabilité, appliquer les meilleures pratiques et gérer le protocole DKIM en toute confiance au sein d'écosystèmes de messagerie complexes, sans avoir à recourir à des vérifications manuelles ou à des approximations.

Pourquoi choisir PowerDMARC ?

• Informations sur les menaces en temps réel
• Une assistance par des experts 24 heures sur 24, 7 jours sur 7
• Intégrations transparentes avec les principales plateformes
• Plus de 2 000 marques dans le monde nous font confiance

Commencez votre parcours en toute sécurité

Foire aux questions

À quoi ressemble un sélecteur DKIM ?

Un sélecteur DKIM est généralement une courte chaîne de caractères telle que « s1 », « selector1 », « google » ou « k1 ». Il apparaît dans l'en-tête de signature DKIM sous la forme « s=selector1 » et correspond à un enregistrement DNS tel que « selector1._domainkey.votredomaine.com ».

Comment tester un sélecteur DKIM ?

Vous pouvez tester un sélecteur DKIM à l'aide d'outils de vérification DKIM en ligne, d'outils en ligne de commande tels que dig ou nslookup, ou en examinant les en-têtes des e-mails pour obtenir les résultats de l'authentification DKIM. L'outil de vérification DKIM de PowerDMARC offre des fonctionnalités complètes de test et de validation.

Comment trouver mon sélecteur DKIM dans l'en-tête d'un e-mail ?

Pour trouver votre sélecteur DKIM dans l'en-tête d'un e-mail, recherchez la ligne « DKIM-Signature » et repérez le paramètre « s= ». Par exemple, dans « s=selector1 », le sélecteur est « selector1 ». Vous pouvez afficher les en-têtes des e-mails en sélectionnant « Afficher l'original » dans Gmail ou des options similaires dans d'autres clients de messagerie.

Que se passe-t-il si un sélecteur DKIM est incorrect ?

Si un sélecteur DKIM est incorrect, vos e-mails risquent d'échouer à l'authentification DKIM, ce qui augmente le filtrage anti-spam et déclencher d'éventuels échecs DMARC.

Peut-on avoir plusieurs sélecteurs DKIM ?

Oui. Il est courant d'utiliser plusieurs sélecteurs DKIM, ce qui est souvent nécessaire en cas de rotation ou lorsque plusieurs expéditeurs sont impliqués.

À quelle fréquence dois-je changer les clés DKIM?

Il est recommandé de renouveler vos clés DKIM tous les 3 à 6 mois. Toutefois, en cas d'incident de sécurité, renouvelez vos clés immédiatement afin d'éviter toute nouvelle compromission.

Quels outils permettent de détecter automatiquement les sélecteurs DKIM ?

L'analyseur d'en-têtes d'e-mails de PowerDMARC analyseurs d'en-têtes d'e-mails et ses outils de recherche DKIM permettent d'extraire instantanément le sélecteur DKIM utilisé dans un message, sans intervention manuelle ni expertise technique.

• À propos de
• Derniers messages

Yunes Tarada

Expert en sécurité des domaines et des courriels chez PowerDMARC

Yunes est chef d'équipe des opérations chez PowerDMARC et possède des connaissances approfondies en matière d'authentification et de sécurité des courriels. Yunes est certifié Microsoft Azure Administrator Associate et possède des certifications CompTIA A+ et bien d'autres encore.

Derniers messages de Yunes Tarada (voir tous)

• DMARCbis expliqué : ce qui change et comment s'y préparer - 16 avril 2026
• Le format du numéro de série SOA n'est pas valide : causes et solutions - 13 avril 2026
• Comment envoyer des e-mails sécurisés dans Gmail : guide étape par étape - 7 avril 2026