Vérifier le DKIM : les clés avec lesquelles un domaine signe ses e-mails
Le DKIM permet à un domaine de signer ses e-mails avec une clé publiée dans le DNS, pour que les serveurs de réception puissent vérifier qu’un message vient bien de ce domaine et n’a pas été modifié. Chaque clé se trouve sous un nom appelé sélecteur. Saisissez un domaine et, si vous le connaissez, le sélecteur ; sans sélecteur, nous essayons 33 sélecteurs courants.
Le sélecteur est la valeur « s= » de l’en-tête « DKIM-Signature » d’un e-mail envoyé par ce domaine. Laissez vide pour essayer les plus courants.
Comment trouver le sélecteur
- Ouvrez un e-mail envoyé par ce domaine et affichez l’original ou les en-têtes (dans Gmail : les trois points, puis « Afficher l’original »).
- Cherchez l’en-tête « DKIM-Signature » : « d= » est le domaine et « s= » est le sélecteur, par exemple s=selector1.
- Saisissez le domaine et le sélecteur, puis appuyez sur « Vérifier le DKIM ». Sans sélecteur, nous en essayons 33 courants, comme default, google, selector1 ou k1.
Ce que signifie chaque résultat
- Le domaine signe ses e-mails avec DKIM
- Nous avons trouvé sa clé publique : les serveurs de réception peuvent vérifier que ses messages viennent bien de ce domaine et n’ont pas été modifiés en chemin.
- Il y a des clés DKIM, avec des avertissements
- Nous avons trouvé au moins une clé, mais certaines sont retirées, en test ou trop faibles. Les détails figurent sous chaque clé.
- Aucune clé DKIM dans les sélecteurs courants
- Cela ne prouve pas que le domaine n’a pas de DKIM : il peut utiliser un autre sélecteur. Vous le trouverez dans l’en-tête « DKIM-Signature: s= » d’un e-mail qu’il vous a envoyé. Saisissez-le dans « Sélecteur » et vérifiez à nouveau.
- Aucune clé DKIM pour ce sélecteur
- Vérifiez l’orthographe : le sélecteur est la valeur « s= » de l’en-tête « DKIM-Signature », et le domaine est sa valeur « d= ».
Ce que signifie chaque signal
- La clé est vide (p=) : ce sélecteur est retiré et ne signe plus d’e-mails.
- La clé est en mode test (t=y) : le domaine demande aux serveurs de réception de ne pas agir si la signature échoue.
- La clé RSA fait moins de 1024 bits : elle peut être cassée et de nombreux serveurs de réception ne l’acceptent pas.
- La clé RSA fait 1024 bits : elle est encore acceptée, mais 2048 est recommandé.
- La clé n’autorise que SHA-1, un algorithme ancien qui n’est plus considéré comme sûr.
- L’enregistrement de la clé contient une erreur et ne peut pas être lu.
- Le type de clé n’est ni RSA ni Ed25519 : les serveurs de réception ne peuvent donc pas l’utiliser.
- Il n’y a aucune clé dans les sélecteurs que nous avons essayés.
Outils associés
Pays couverts
Fonctionne avec les domaines de tous les pays. Sans sélecteur, nous essayons ceux par défaut des grands fournisseurs (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp et d’autres) et les noms génériques habituels, 33 au total. Les clés sont lues comme le font les serveurs de réception (RFC 6376) : RSA et Ed25519.
Nous lisons les enregistrements DNS publics du domaine. Si vous saisissez une adresse e-mail ou un lien, seul son domaine quitte votre navigateur. Nous ne conservons pas le domaine que vous consultez.
Questions fréquentes
Qu’est-ce que le DKIM ?
DomainKeys Identified Mail : le serveur d’envoi signe chaque e-mail avec une clé privée et le domaine publie la clé publique dans le DNS. Le serveur de réception vérifie la signature : si elle correspond, l’e-mail vient bien de ce domaine et n’a pas été modifié en chemin.
Qu’est-ce qu’un sélecteur ?
Le nom sous lequel une clé est publiée, à selector._domainkey.example.com. Un domaine peut en avoir plusieurs, un par fournisseur ou par changement de clé. Il apparaît sous la forme « s= » dans l’en-tête « DKIM-Signature » de chaque e-mail.
Pourquoi ne trouve-t-il aucune clé alors que le domaine utilise DKIM ?
Les sélecteurs peuvent porter n’importe quel nom et le DNS ne permet pas de les lister. Nous en essayons 33 courants ; si le domaine en utilise un autre, saisissez-le dans « Sélecteur ». C’est pourquoi « aucune clé trouvée » ne prouve pas qu’il n’y a pas de DKIM.
Que signifient 1024 et 2048 bits ?
La taille de la clé RSA : plus elle est longue, plus elle est difficile à casser. 1024 bits est encore accepté, mais 2048 est la taille recommandée. En dessous de 1024, de nombreux serveurs de réception ignorent la signature.