Vérificateur DKIM

C'est une signature que le serveur qui envoie votre courrier ajoute à chaque message avec une clé privée. Le destinataire cherche la clé publique dans vos DNS et vérifie que la signature correspond : il sait ainsi que le message provient de celui qui contrôle votre domaine et que personne ne l'a modifié en route. Contrairement au SPF, la signature voyage dans le message, elle survit donc généralement à une redirection.

Ouvrez un e-mail que vous avez envoyé, affichez l'original (dans Gmail, « Afficher l'original ») et cherchez l'en-tête DKIM-Signature. La valeur de s= est le sélecteur et celle de d=, le domaine signataire. Quelques sélecteurs courants : google pour Google Workspace, selector1 et selector2 pour Microsoft 365, default pour cPanel, fm1 pour Fastmail et k1 pour Mailchimp.

Parce que DKIM n'a pas d'index : la clé se trouve sous un nom que seul connaît celui qui sait le sélecteur. Nous testons ceux des fournisseurs les plus courants, mais certains services en génèrent un différent pour chaque domaine. Si vous connaissez le vôtre, saisissez-le dans le champ sélecteur : nous la lisons alors directement sur vos serveurs DNS, ce qui fonctionne même si vous venez de la publier.

De 2048 dès que possible. Celle de 1024 est le minimum admis par la norme et fonctionne toujours, mais n'est plus recommandée. Un enregistrement de 2048 bits dépasse les 255 caractères que peut contenir une chaîne TXT, il est donc découpé en morceaux entre guillemets : c'est normal et le serveur qui le lit les réassemble.

Pas forcément. L'enregistrement indique seulement que la clé existe ; la signature dépend du serveur d'envoi, et chez de nombreux fournisseurs il faut l'activer séparément après l'avoir publiée. Pour savoir si votre courrier part signé, vérifiez dans les en-têtes d'un message envoyé que dkim=pass apparaît avec votre domaine, ou envoyez-le à notre test de messagerie.