Tout savoir sur DKIM2 : ce que cela change et où en est la norme

DKIM2 is an active IETF working group draft, not a deployed standard. As of August 2026, there are three working group documents and no RFC. Nothing is required of senders today.

Qu'est-ce que DKIM2 ?

DKIM2 est le successeur proposé de DKIM (DKIM1), actuellement en cours de développement au sein du groupe de travail DKIM de l'IETF. Il est conçu pour résister au transfert d'e-mails, empêcher les abus par rejeu et normaliser les mécanismes de retour d'information dans l'ensemble de l'écosystème de la messagerie électronique.

Contrairement à la spécification DKIM d’origine (RFC 6376), qui ne signe un message qu’une seule fois à la source, DKIM2 repose sur un modèle de signatures en chaîne à chaque étape du parcours. Chaque serveur qui traite le message ajoute sa propre signature cryptographique, créant ainsi une trace vérifiable du parcours suivi par l’e-mail et de toutes les modifications apportées en cours de route. Cette chaîne de contrôle rend structurellement plus difficile pour les acteurs malveillants d’exploiter les failles d’authentification.

État d'avancement de la normalisation de DKIM2 : les projets de l'IETF

DKIM2 n'est pas une spécification RFC et n'est actuellement pas mis en œuvre par les fournisseurs de messagerie. Il fait l'objet d'un processus de développement au sein de l'Internet Engineering Task Force (IETF) sous la forme d'une série de documents de groupes de travail. Cela signifie que l'architecture de base prend forme, mais que les projets peuvent encore subir des modifications substantielles, être remplacés ou devenir caducs.

En août 2026, les projets en cours des groupes de travail de l'IETF sont les suivants :

Ces documents ont été rédigés par des ingénieurs de Yahoo, Google, Fastmail et GreenArrow Email. Ce niveau d'implication de la part des principaux fournisseurs de messagerie et des fournisseurs d'infrastructures est le meilleur indicateur que ce protocole est conçu pour résoudre de véritables problèmes opérationnels à grande échelle.

Pourquoi il faut remplacer le protocole DKIM

Problème lié à la modification d'un intermédiaire

Lorsqu’un e-mail transite par un intermédiaire, tel qu’une liste de diffusion ou un service de transfert, le contenu ou les en-têtes du message sont souvent modifiés. Même une modification légitime, comme l’ajout d’un pied de page ou la modification de l’objet, altère le hachage cryptographique généré par l’expéditeur d’origine. Le serveur destinataire détecte alors un message modifié, le contrôle DKIM échoue et l’e-mail risque d’être marqué comme spam.

Atteinte à la réputation par des attaques par relecture

Une attaque par réutilisation de DKIM se produit lorsqu’un acteur malveillant intercepte un e-mail légitimement signé par un domaine réputé et le renvoie à des millions de nouveaux destinataires. La signature DKIM de l’expéditeur d’origine étant valide et le contenu n’ayant pas été modifié, le serveur destinataire authentifie le message. Le spammeur détourne ainsi la bonne réputation de l’expéditeur pour contourner les filtres anti-spam, causant ainsi un grave préjudice à la réputation du propriétaire du domaine d’origine.

Attaques par rejeu DKIM : comment ça marche ?

Pour mener une attaque par rejeu, un spammeur commence par créer un compte auprès d’un service qui envoie des e-mails transactionnels au nom d’un domaine réputé (par exemple, un e-mail de bienvenue ou un lien de réinitialisation de mot de passe). Lorsque le spammeur déclenche l’envoi de cet e-mail légitime vers sa propre boîte de réception, il reçoit un message parfaitement signé par la clé DKIM du service.

Le spammeur extrait alors l'e-mail brut, y compris son en-tête « DKIM-Signature » valide, et utilise sa propre infrastructure pour diffuser ce message à une liste massive d'adresses e-mail achetées. Les serveurs de messagerie destinataires vérifient la signature, confirment qu'elle correspond à la clé publique du domaine réputé, puis acheminent le spam vers la boîte de réception. C'est l'expéditeur d'origine qui est tenu pour responsable et qui subit les conséquences sur sa réputation suite à cette campagne de spam.

Absence de retours d'information standardisés

DKIM1 offre un mécanisme permettant de vérifier une signature, mais il ne dispose pas d'un moyen normalisé permettant aux serveurs destinataires de signaler à l'expéditeur les échecs d'authentification ou de lui transmettre des informations d'analyse. Il est donc difficile pour les administrateurs de résoudre les problèmes liés aux signatures invalides ou d'identifier la source de la modification.

Problème de rétrodiffusion

On parle de « backscatter » lorsqu'un serveur destinataire rejette un e-mail usurpé et envoie une notification de rejet (rapport de non-livraison) à l'adresse d'expéditeur falsifiée. Comme cette adresse appartient à un propriétaire de domaine innocent, sa boîte de réception est inondée de messages de rejet concernant des e-mails qu'il n'a jamais envoyés.

Quels sont les changements apportés par DKIM2 ?

Signature normalisée de l'en-tête

DKIM2 introduit une approche plus rigoureuse et normalisée de la signature des en-têtes. En imposant les en-têtes qui doivent figurer dans la signature ainsi que leur structure, il réduit l'ambiguïté qui est souvent à l'origine des échecs de validation.

Prévention de la rétrodiffusion

En intégrant de manière structurelle les informations relatives à l'expéditeur et au destinataire de l'enveloppe dans la chaîne de signature, DKIM2 fournit aux serveurs destinataires une preuve cryptographique du chemin de livraison prévu. Cela permet aux destinataires de rejeter en toute confiance les messages usurpés sans générer de rapports de rebond injustifiés à l'encontre de domaines innocents.

Gestion simplifiée des erreurs

DKIM2 intègre des mécanismes définis pour signaler les erreurs et les modifications. Lorsqu'une signature n'est plus valide, la structure en chaîne permet au destinataire d'identifier précisément à quelle étape du parcours de transmission le message a été altéré, ce qui facilite le dépannage pour les administrateurs.

Lutte contre les attaques de rediffusion DKIM

Pour lutter contre les attaques par rejeu, DKIM2 exige que chaque maillon du chemin de transmission ajoute sa propre signature ; ces signatures lient le message à ses destinataires spécifiques indiqués dans l'enveloppe (balises `mf=` et `rt=`). Si un spammeur intercepte un message signé et tente de le réenvoyer à de nouvelles adresses, les informations relatives aux destinataires ne correspondront plus à la liaison cryptographique, et le serveur destinataire rejettera la tentative de rejeu.

Dextérité algorithmique

Cette norme actualise les fondements cryptographiques de l'authentification des e-mails. Le projet actuel de bonnes pratiques (draft-ietf-dkim-dkim2-bcp) définit la prise en charge d'algorithmes robustes, notamment SHA256, RSA-SHA256 et Ed25519-SHA256, garantissant ainsi que le protocole reste sécurisé face aux menaces informatiques actuelles.

Minimiser les crypto-calculs

Bien que DKIM2 nécessite davantage de signatures par message, la spécification est conçue pour rationaliser le processus de validation. La structure en chaîne permet aux vérificateurs de traiter efficacement les signatures sans surcharger les ressources du serveur.

DKIM2, DKIM et ARC : comparaison

Comme DKIM2 résout les problèmes liés au transfert d'e-mails, il recoupe directement l'Authenticated Received Chain (ARC). L'ARC est la solution actuellement adoptée par le secteur pour remédier au problème du transfert, conçue pour préserver les résultats d'authentification au fur et à mesure qu'un message transite par des intermédiaires.

La question la plus fréquemment posée au sujet des nouveaux projets est la suivante : « DKIM2 remplace-t-il ARC ? » La réponse est oui. ARC repose sur une confiance subjective entre les nœuds de transfert ; pour qu’ARC fonctionne, les serveurs destinataires doivent tenir à jour des listes de relais de confiance. DKIM2 résout ce problème de manière cryptographique, éliminant ainsi le recours à la confiance subjective, ce qui rendra ARC obsolète dès que DKIM2 sera largement adopté.

Que doivent faire les expéditeurs concernant DKIM2 aujourd'hui ?

Vous ne devez pas remanier l'architecture de votre infrastructure de messagerie en production en vous basant sur ces projets. DKIM2 est encore en phase d'élaboration ; aucun calendrier de mise en œuvre n'a été publié, et les principaux fournisseurs de messagerie ne l'imposent pas encore.

Vous devriez plutôt vous attacher à perfectionner votre stratégie actuelle d'authentification des e-mails. Les organisations qui posent dès maintenant des bases solides aborderont la prochaine ère sans heurts. Utilisez un outil de vérification des enregistrements DKIM pour valider votre configuration actuelle, et assurez-vous que vos configurations SPF, DKIM, DMARC et ARC sont rigoureuses et précises.

Suivez l'avancement des travaux du groupe de travail, mais ne prévoyez de mettre en place une version pilote de DKIM2 qu'une fois que les fournisseurs de messagerie le prendront réellement en charge. Si vous devez générer de nouvelles clés pour votre configuration actuelle, utilisez un générateur d'enregistrements DKIM.

Mettez en place votre DKIM avant l'arrivée de DKIM2

Pour se préparer à l'avenir de la sécurité des e-mails, il faut commencer par maîtriser les normes actuelles. En mettant pleinement en œuvre le protocole DMARC et en veillant à ce que vos signatures DKIM actuelles résistent au transit, vous protégez la réputation de votre domaine et garantissez un taux de délivrabilité élevé.

Foire aux questions

Qu'est-ce que DKIM2 ?

DKIM2 est le successeur proposé de DKIM, actuellement en cours de développement au sein de l'IETF. Il est conçu pour résister au transfert des e-mails, empêcher les attaques par rejeu et créer une chaîne de responsabilité vérifiable en exigeant que chaque serveur traitant un e-mail le signe.

Le protocole DKIM2 est-il déjà disponible ?

Non. DKIM2 est actuellement un projet en cours d'élaboration au sein de l'IETF, et non une norme déjà mise en œuvre. Il n'est pour l'instant ni pris en charge ni imposé par les principaux fournisseurs de messagerie.

Quand DKIM2 sera-t-il disponible ?

Aucun calendrier n'a été publié concernant la sortie de la version finale. La spécification doit suivre le processus de rédaction de l'IETF pour devenir une RFC avant que les fournisseurs ne commencent à l'adopter.

DKIM2 va-t-il remplacer DKIM ?

Oui, DKIM2 est destiné à remplacer intégralement la norme DKIM actuelle, en remédiant de manière structurelle à ses vulnérabilités connues liées aux attaques par transfert et par rejeu.

Le protocole DKIM2 remplace-t-il l'ARC ?

Oui. Alors qu'ARC permet de garantir la fiabilité des intermédiaires qui transfèrent les e-mails, DKIM2 résout le problème du transfert par des moyens cryptographiques, rendant ainsi ARC superflu une fois que cette technologie sera largement adoptée.

Dois-je prendre des mesures concernant DKIM2 dès maintenant ?

Non, les expéditeurs n'ont pas besoin de modifier leur infrastructure pour l'instant. La meilleure façon de s'y préparer est de s'assurer que vos configurations actuelles d'SPF, DKIM et DMARC sont pleinement optimisées et appliquées.

Résumé

DKIM2 marque un changement structurel majeur dans l'authentification des e-mails, passant d'une signature d'origine unique à une chaîne de contrôle vérifiable à chaque étape du parcours. En remédiant aux faiblesses fondamentales de DKIM1 dans la gestion des attaques par transfert et par rejeu, il promet un écosystème bien plus résilient. Cependant, il s'agit encore d'un projet en cours au sein de l'IETF. Pour l'instant, la stratégie la plus efficace pour les propriétaires de domaines consiste à suivre son évolution tout en appliquant rigoureusement les normes DMARC actuelles.

• À propos de
• Derniers messages

Yunes Tarada

Expert en sécurité des domaines et des e-mails chez PowerDMARC

Yunes est chef d'équipe des opérations chez PowerDMARC et possède des connaissances approfondies en matière d'authentification et de sécurité des courriels. Yunes est certifié Microsoft Azure Administrator Associate et possède des certifications CompTIA A+ et bien d'autres encore.

Derniers messages de Yunes Tarada (voir tous)

• Guide d'authentification des e-mails Marketo : SPF, DKIM et DMARC - 28 août 2026
• Guide de configuration de CodeTwo DKIM, DMARC et « SPF » - 27 août 2026
• Guide de configuration de TinkMail : DKIM, DMARC et SPF - 19 août 2026