Ivona Mikulčić28 septembre 20267 min de lecture
Enregistrements DKIM : améliorez l'authentification et la délivrabilité de vos emails
Qu'est-ce qu'un enregistrement DKIM
Un enregistrement DKIM est une entrée DNS de type TXT qui stocke une clé publique. Il permet aux serveurs de messagerie de confirmer qu'un message provient bien du domaine qu'il prétend représenter et qu'il n'a pas été modifié en chemin. Il fonctionne aux côtés de SPF et DMARC comme l'un des trois piliers de l'authentification email. Ensemble, ils empêchent les spammeurs d'usurper votre domaine et déterminent si vos emails arrivent en inbox ou dans le dossier spam.
Avant d'aller plus loin, quelques termes à connaître :
Enregistrement DKIM : l'entrée DNS TXT qui contient la clé publique consultée par les serveurs de réception
Signature DKIM : l'en-tête cryptographique attaché à chaque email sortant, généré avec une clé privée
Sélecteur : un libellé qui oriente les serveurs de réception vers la bonne clé publique dans votre DNS
L'enregistrement et la signature sont souvent confondus, mais ce n'est pas la même chose. L'enregistrement reste dans votre DNS. La signature voyage avec chaque email que vous envoyez.
Comment fonctionne l'authentification email DKIM
Le DKIM repose sur une paire de clés cryptographiques, une privée et une publique. Voici comment elles fonctionnent ensemble, dans l'ordre.
La clé privée et la signature numérique
Quand votre serveur de messagerie envoie un message, il génère une signature numérique unique à l'aide d'une clé privée et l'attache sous forme d'en-tête masqué appelé DKIM-Signature. Cette signature couvre généralement les en-têtes et le corps du message. La clé privée ne quitte jamais votre serveur, et c'est précisément le but.
La clé publique et la requête DNS
Le serveur de réception lit les valeurs s= (sélecteur) et d= (domaine) dans cet en-tête de signature, puis interroge le DNS pour trouver la clé publique correspondante. C'est là que votre enregistrement DKIM entre en jeu. Sans lui, le serveur de réception n'a rien à vérifier.
La vérification et le contrôle d'authentification
La clé publique déchiffre la signature, et le serveur la compare à une version recalculée du message. Si elles correspondent, le DKIM passe. Si un seul caractère a changé pendant le transit, il échoue, et cet échec est consigné dans les rapports DMARC.
Syntaxe et exemple d'enregistrement DKIM
Un enregistrement DKIM se compose de deux parties : le nom de l'enregistrement et son contenu. Une fois le format maîtrisé, repérer un enregistrement cassé devient bien plus simple.
Tag | Valeur d'exemple | Fonction |
|---|---|---|
|
| Identifie l'enregistrement comme DKIM (toujours |
|
| L'algorithme de chiffrement utilisé |
|
| La clé publique encodée en base64 |
Nom de l'enregistrement et format du sélecteur
Les enregistrements DKIM ne se trouvent pas directement sous votre nom de domaine. Ils suivent ce format :
selector._domainkey.yourdomain.com
Ainsi, un sélecteur google sur acme.com devient google._domainkey.acme.com.
Contenu de l'enregistrement et clé publique
La valeur suit un format tag-valeur. v=DKIM1 indique au serveur qu'il s'agit d'un enregistrement DKIM, et tout ce qui suit p= est la clé publique elle-même. Si p= est vide, la clé a été révoquée volontairement et l'enregistrement est en pratique désactivé.
Type d'enregistrement et TTL
Techniquement, un enregistrement DKIM est simplement un enregistrement DNS TXT, le même type utilisé pour stocker toutes sortes de données textuelles liées au domaine. La plupart des fournisseurs DNS utilisent un TTL par défaut de 3 600 secondes (une heure), ce qui convient généralement pour le DKIM.
Qu'est-ce qu'un sélecteur DKIM et comment trouver le vôtre
Les sélecteurs existent parce qu'un domaine envoie souvent des emails via plusieurs services, et chacun a besoin de sa propre clé. C'est pourquoi il est courant de voir plusieurs enregistrements DKIM sous un même domaine, un par source d'envoi.
Où trouver votre sélecteur dans les en-têtes d'email
Envoyez-vous un email de test sur un compte Gmail, ouvrez-le et choisissez « Afficher l'original ». Cherchez dkim=pass dans l'en-tête Authentication-Results, ou consultez directement l'en-tête DKIM-Signature pour le tag s=. Cette valeur est votre sélecteur.
Sélecteurs courants par fournisseur de messagerie
Vous n'aurez pas toujours besoin de fouiller dans les en-têtes. La plupart des fournisseurs utilisent un sélecteur par défaut connu :
Google Workspace :
googleMicrosoft 365 :
selector1,selector2Mailchimp :
k1SendGrid:
s1,s2
Si vous utilisez un outil de prospection comme lemlist en parallèle de votre fournisseur principal, il publie généralement son propre sélecteur aussi.
Comment configurer un enregistrement DKIM étape par étape
Les étapes exactes varient légèrement selon le fournisseur, mais le processus général ressemble à ceci.
Listez tous les domaines et services qui envoient en votre nom, y compris votre fournisseur de messagerie, votre CRM et vos outils de prospection.
Générez une paire de clés DKIM. La plupart des fournisseurs le font pour vous depuis leur console d'administration.
Créez l'enregistrement DNS en utilisant le format de nommage décrit plus haut, puis collez la clé publique.
Ajoutez l'enregistrement via votre fournisseur DNS (Cloudflare, GoDaddy, Namecheap, etc.).
Activez la signature DKIM sur votre serveur. Certains fournisseurs l'activent automatiquement une fois l'enregistrement vérifié ; d'autres nécessitent une activation manuelle.
Testez la configuration avec un vrai email et un outil de vérification DKIM.
La propagation et l'activation de la signature peuvent prendre un peu de temps. Pas de panique si le test ne passe pas du premier coup.
Astuce : la configuration de délivrabilité de lemlist paramètre automatiquement DKIM, SPF et DMARC lorsque vous connectez ou achetez un domaine d'envoi. Le travail DNS manuel ci-dessus devient donc facultatif.
Enregistrements TXT vs CNAME pour le DKIM
Tous les fournisseurs ne demandent pas le même type d'enregistrement, et la différence dépend de qui contrôle la clé.
Quand utiliser un enregistrement TXT
Un enregistrement TXT stocke la clé publique complète directement dans votre DNS, et vous contrôlez quand elle change. C'est l'approche standard, celle décrite par la spécification officielle DKIM.
Quand utiliser un enregistrement CNAME
Microsoft 365, par exemple, utilise des enregistrements CNAME qui pointent vers l'infrastructure DKIM de Microsoft. Cela délègue la gestion des clés au fournisseur, qui peut les faire tourner sans que vous touchiez au DNS. SendGrid suit un modèle similaire. Les deux approches fonctionnent. Vérifiez ce que votre fournisseur recommande avant de supposer que le TXT est la seule option.
Comment vérifier et valider votre enregistrement DKIM
Une fois l'enregistrement en place, confirmer qu'il fonctionne ne demande que votre nom de domaine et votre sélecteur. Des outils gratuits comme MxToolbox, EasyDMARC ou Google Admin Toolbox font la vérification pour vous.
Pass : l'outil retourne la clé publique et confirme le bon formatage
Fail : enregistrement introuvable, erreur de syntaxe ou sélecteur non concordant
Lancer cette vérification une fois après la configuration, c'est utile. La lancer manuellement sur chaque boîte, ça devient vite fastidieux. C'est là que le Deliverability Hub de lemlist entre en jeu. Il surveille le DKIM et les autres enregistrements d'authentification sur tous vos domaines d'envoi depuis un seul dashboard.
Erreurs courantes sur les enregistrements DKIM et comment les corriger
La plupart des échecs DKIM remontent à une poignée d'erreurs prévisibles.
Sélecteur ou nom d'enregistrement incorrect
Une faute de frappe dans le sélecteur, ou un ._domainkey. manquant dans le hostname, rend l'enregistrement invisible pour les serveurs de réception. Comparez le nom complet de l'enregistrement avec les instructions de votre fournisseur, caractère par caractère.
Clé publique manquante ou mal formée
Les clés longues sont parfois découpées en plusieurs chaînes, et si votre fournisseur DNS tronque la valeur au passage, la clé casse silencieusement. Vérifier que la chaîne base64 complète est intacte peut vous éviter bien des prises de tête.
Utilisation d'une clé trop faible
Les clés 1024 bits étaient le standard pendant des années, mais elles sont désormais considérées comme insuffisantes face à la cryptanalyse moderne. Google, Microsoft, Yahoo et Amazon SES recommandent tous le 2048 bits comme minimum.
Oubli d'activer la signature DKIM sur le serveur
L'enregistrement DNS indique seulement aux serveurs de réception où chercher. Si votre serveur d'envoi n'attache pas de signature aux emails sortants, l'enregistrement ne sert à rien tout seul. C'est une étape facile à oublier avec les outils tiers.
Comment le DKIM fonctionne avec SPF et DMARC
Le DKIM fonctionne rarement seul. C'est une couche dans une stack d'authentification en trois parties :
SPF : confirme que l'IP du serveur d'envoi est autorisée par le DNS du domaine
DKIM : confirme que le message n'a pas été modifié et que la signature correspond à la clé publique du domaine
DMARC : indique aux serveurs de réception quoi faire quand SPF ou DKIM échoue, et exige qu'au moins l'un des deux passe avec un alignement de domaine
Les signatures DKIM survivent aussi au transfert d'email, ce qui n'est souvent pas le cas de SPF. Le DKIM est donc la pièce la plus résiliente pour l'alignement DMARC. C'est pourquoi configurer les deux, plutôt que de compter sur un seul, vous offre la meilleure protection.
Pourquoi le DKIM compte pour la délivrabilité en cold email
Pour quiconque fait de l'outbound, le DKIM n'est plus optionnel. Google et Yahoo exigent désormais des expéditeurs en masse qu'ils s'authentifient avec SPF et DKIM, accompagnés d'un enregistrement DMARC. Les emails non conformes risquent le rejet. Au-delà de la conformité, le DKIM contribue aussi à la façon dont les FAI construisent la réputation de domaine au fil du temps, aux côtés d'un faible taux de plaintes spam et d'un engagement sain.
Mais la configuration n'est que le point de départ. L'authentification a besoin d'être surveillée, et les nouveaux domaines doivent encore être réchauffés progressivement. Le Deliverability Hub de lemlist vous offre un suivi DKIM par boîte avec des alertes dès que quelque chose casse. Chaque licence inclut lemwarm, qui construit la réputation d'expéditeur sur un domaine correctement authentifié en échangeant de vrais emails à un rythme contrôlé.
Démarrez votre essai gratuit de 14 jours et configurez DKIM, SPF et DMARC automatiquement, avec un suivi de délivrabilité intégré sur chaque boîte.
Convert strategy into pipeline
Launch your first outbound campaign with verified leads, AI sequences, and multichannel outreach from one platform.