Générateur DKIM
Créez une paire de clés DKIM et l'enregistrement TXT exact à publier dans votre DNS.
Comment configurer DKIM avec la clé générée
- Entrez votre nom de domaine et un sélecteur, choisissez la taille de clé et cliquez sur Générer.
- Chez votre hébergeur DNS, créez un enregistrement TXT. Utilisez le nom affiché (selecteur._domainkey ou nom FQDN complet) et collez la valeur TXT.
- Installez la clé privée dans les paramètres de signature DKIM de votre serveur de messagerie avec les mêmes domaine et sélecteur.
- Envoyez un message de test vers une adresse Gmail personnelle et ouvrez "Afficher l'original". La ligne DKIM doit afficher PASS.
Si le test échoue, vérifiez la propagation DNS et assurez-vous que le sélecteur sur le serveur correspond exactement à celui du DNS. Pour comprendre l'articulation entre SPF, DKIM et DMARC, consultez notre guide explicatif SPF, DKIM et DMARC.
Choisir un sélecteur et une taille de clé
Le sélecteur est simplement une étiquette textuelle : choisissez-en une facile à reconnaître plus tard. Un préfixe temporel comme s2026a indique clairement quelle clé est active lors des rotations. Il peut contenir des lettres, des chiffres et des tirets.
Pour la taille de la clé, 2048 bits est le standard recommandé. Gmail exige au moins 1024 bits et préconise 2048 bits. La RFC 8301 stipule que les expéditeurs doivent utiliser au moins 1024 bits et devraient adopter 2048 bits. Bien que la RFC permette aux destinataires de gérer jusqu'à 4096 bits, de nombreuses consoles DNS gèrent mal les chaînes très longues ; privilégiez 2048 bits.
Composition d'un enregistrement DKIM
| Balise | Signification | Exemple |
|---|---|---|
| v | Version du protocole. Optionnel, mais si présent doit figurer en premier | v=DKIM1 |
| k | Type d'algorithme de clé. rsa est la valeur par défaut | k=rsa |
| p | Clé publique encodée en base64. Une valeur vide (p=) révoque la clé | p=MIIBIjAN... |
| t | Indicateurs (flags). y pour le mode test, s pour restreindre au domaine principal | t=y |
Trois balises supplémentaires existent (h pour les algorithmes de hachage, n pour les notes, s pour le type de service), mais elles sont rarement nécessaires.
Pourquoi les longs enregistrements DKIM sont scindés
Une clé publique de 2048 bits mesure environ 390 caractères une fois encodée en base64. Le protocole DNS stocke les données TXT sous forme de chaînes d'au plus 255 caractères (RFC 1035). Une clé de 2048 bits doit donc être publiée sous forme de deux ou plusieurs chaînes concaténées que les serveurs récepteurs regroupent avant validation. La plupart des consoles DNS effectuent ce découpage automatiquement si vous collez la chaîne unique. Le format BIND est conçu pour l'édition directe de fichiers de zone.
Rotation des clés DKIM
Pour renouveler vos clés en toute sécurité, générez une nouvelle paire avec un nouveau sélecteur et publiez son enregistrement DNS à côté de l'ancien. Configurez ensuite votre serveur pour signer avec le nouveau sélecteur, puis supprimez l'ancien enregistrement une fois tous les e-mails en transit livrés.
Foire aux questions
La paire de clés est créée directement par l'API Web Crypto intégrée à votre navigateur. La clé privée n'est jamais transmise à nos serveurs ni à aucun tiers. Nous ne pouvons pas la récupérer, veillez donc à la télécharger avant de quitter la page.
Uniquement sur votre serveur de messagerie, dans ses paramètres de signature DKIM. Ne la publiez jamais dans le DNS et ne l'envoyez jamais par e-mail. Seule la clé publique, dans la valeur TXT, est rendue publique.
Utilisez 2048 bits, à moins que votre hébergeur DNS ne supporte pas les enregistrements longs. Gmail accepte 1024 bits au minimum mais recommande 2048 bits, et la RFC 8301 préconise l'adoption de 2048 bits.
Chaque chaîne d'un enregistrement TXT DNS ne peut dépasser 255 caractères, et une clé 2048 bits est plus longue. Les serveurs de réception rassemblent ces fragments en une seule valeur lors de la vérification.
La plupart des outils de messagerie acceptent le format standard PKCS#8 (BEGIN PRIVATE KEY). Si votre logiciel requiert BEGIN RSA PRIVATE KEY, téléchargez la version PKCS#1 ; c'est la même clé dans un format plus traditionnel.
Envoyez un e-mail depuis votre serveur vers un compte Gmail personnel, ouvrez le message et sélectionnez "Afficher l'original". Gmail affiche le statut DKIM en haut : vous devez voir PASS pour votre domaine.
Non. Google Workspace et Microsoft 365 génèrent automatiquement leurs propres clés DKIM depuis leurs consoles d'administration. Cet outil est destiné aux serveurs où vous gérez vous-même les clés de signature.
DKIM configuré ? Vérifiez maintenant votre liste d'e-mails.
1 000 crédits offerts, sans carte bancaire.