Comment configurer DKIM pour un domaine e-mail personnalisé ?

Comment fonctionne DKIM ?

DKIM permet au serveur d'envoi de signer chaque message avec une clé privée, et à tout destinataire de vérifier la signature avec une clé publique publiée dans le DNS. La signature figure dans un en-tête DKIM-Signature. Elle contient le domaine signataire (d=), le sélecteur (s=), les en-têtes signés (h=), une empreinte du corps (bh=) et la signature elle-même (b=). La RFC 6376, une norme Internet, définit ces balises.

Le destinataire construit le nom DNS à partir du sélecteur et du domaine : selecteur._domainkey.domaine. Pour le sélecteur fm1 et le domaine example.com, il interroge fm1._domainkey.example.com. La réponse est un enregistrement avec les balises v=DKIM1, k=rsa et p= suivi de la clé publique en base64. Un p= vide signifie que la clé est révoquée.

Une signature valide prouve deux choses : le message a été signé par un système qui détient la clé privée de ce domaine, et les parties signées n'ont pas changé en transit. Elle ne dit pas que le message est souhaité. Ce jugement revient à DMARC, traité dans SPF, DKIM et DMARC : les différences.

Pourquoi les fournisseurs demandent-ils des enregistrements CNAME plutôt qu'une clé ?

Un CNAME confie la clé au fournisseur : la clé publique reste à l'adresse du fournisseur, qui peut la remplacer sans vous demander de modifier le DNS. Proton Mail, Fastmail et Mailbox.org utilisent tous ce schéma. Leurs enregistrements sont des CNAME de votre nom de sélecteur vers un hôte qu'ils contrôlent, et qui détient l'enregistrement de clé proprement dit.

L'avantage est la rotation des clés. La RFC 6376 conseille de publier les nouvelles clés sous de nouveaux sélecteurs plutôt que de réutiliser un sélecteur, et Proton Mail publie trois sélecteurs (protonmail, protonmail2, protonmail3), ce qui laisse au fournisseur la marge de passer d'une clé à la suivante. Le coût pour vous est la confiance : vous comptez sur l'hôte du fournisseur pour continuer de répondre.

Selon la comparaison de Postelva du 12 novembre 2026, les trois fournisseurs dont les enregistrements DKIM ont été lus sur leurs pages d'aide demandent 3, 4 et 3 enregistrements CNAME, soit 10 en tout, et aucun ne demande de clé TXT.

Quelle longueur de clé DKIM choisir ?

Utilisez une clé RSA de 2048 bits ; 1024 bits est le minimum que la RFC 6376 autorise pour les clés de longue durée. La norme indique que les signataires doivent utiliser des clés RSA d'au moins 1024 bits, et que les vérificateurs doivent pouvoir contrôler des clés de 512 à 2048 bits. Les consignes aux expéditeurs de Google demandent au moins 1024 bits et recommandent 2048. Quand le fournisseur crée la clé, comme avec la configuration CNAME ci-dessus, la longueur est son choix et vous n'avez rien à configurer.

Quand vous devez choisir la taille vous-même, choisissez 2048. Une clé de 2048 bits est plus longue qu'une chaîne de 255 caractères dans le DNS : la valeur TXT est donc découpée en plusieurs chaînes, ce que la plupart des éditeurs DNS font d'eux-mêmes. La même limite d'éditeur s'applique à l'enregistrement SPF décrit dans comment créer un enregistrement SPF.

Puis-je utiliser plusieurs fournisseurs sur un même domaine ?

Oui : chaque fournisseur signe avec son propre sélecteur, donc leurs enregistrements DKIM n'entrent pas en collision. Le sélecteur en est la raison. Proton utilise protonmail, protonmail2 et protonmail3 ; Fastmail utilise fm1, fm2 et fm3 ; Mailbox.org utilise MBO0001 à MBO0004. Un outil de lettre d'information qui envoie en votre nom ajoute son propre sélecteur.

SPF est différent : il contient un seul enregistrement pour tous les expéditeurs, avec une limite de 10 requêtes. Quand vous quittez définitivement un fournisseur, supprimez ses enregistrements DKIM après avoir confirmé que le nouveau signe, afin qu'une clé abandonnée ne puisse pas être utilisée par quelqu'un qui accéderait à l'ancien compte. Pour l'ordre complet d'une migration, voir comment migrer ses e-mails vers un nouveau fournisseur sans perdre de courrier.

Comment vérifier que DKIM fonctionne ?

Interrogez le sélecteur avec dig, puis envoyez un vrai message. La commande dig CNAME fm1._domainkey.example.com +short doit afficher la cible du fournisseur. Pour une clé TXT, demandez TXT à la place. Le test décisif est un message : les en-têtes de la copie reçue montrent si le serveur destinataire a consigné dkim=pass.

Si l'enregistrement est correct et que la vérification échoue encore, les causes habituelles sont un mauvais nom d'hôte (le domaine ajouté deux fois par l'éditeur DNS), un cache périmé, ou un message envoyé avant que le fournisseur n'ait activé la signature. Le guide suivant, comment vérifier les enregistrements MX, SPF, DKIM et DMARC, liste les commandes. Les étapes Fastmail complètes figurent dans le guide du domaine personnalisé Fastmail.