Maintenir une réputation d’expéditeur solide, positive et sûre est difficile quand une menace en ligne survient toutes les 39 secondes et que le nombre d’e-mails d’hameçonnage contenant un logiciel malveillant a grimpé à 97 % récemment. Les fournisseurs de messagerie ne font pas confiance aux entreprises, et il est difficile de se faire un nom. Il existe pourtant une issue, même pour celles qui démarrent tout juste leur activité et se voient contraintes d’utiliser des adresses IP partagées, réputées pour leurs faux pas en cybersécurité.
L’un des meilleurs moyens de protéger votre nom, et même de faire passer votre sender score au niveau supérieur, consiste à appliquer les protocoles d’authentification conçus pour sécuriser les newsletters et les échanges entre la marque et l’utilisateur final. Plusieurs standards sont répandus ; aujourd’hui, nous allons nous concentrer sur DKIM, l’un des piliers de DMARC, qui joue un rôle décisif dans la façon dont la majorité des fournisseurs de messagerie établissent l’authenticité d’un e-mail.
Passons en revue ses fondamentaux : ce qu’est DKIM, comment créer un enregistrement DKIM en une procédure simple de 5 étapes, et quels outils permettent de vérifier DKIM pour s’assurer qu’il fonctionne comme prévu.
Qu’est-ce que DKIM ?
Commençons par le commencement : qu’est-ce que DKIM ?
DKIM signifie DomainKeys Identified Mail, une norme internet définie par la RFC 6376. Comme SPF, c’est l’une des méthodes d’authentification les plus fiables et les plus largement adoptées par les fournisseurs de messagerie pour garantir la santé des échanges e-mail. Sa première mission : lutter contre l’usurpation d’identité.
L’usurpation d’identité est une forme de cyberattaque dans laquelle le pirate se fait passer pour une source de confiance afin de franchir sans encombre les filtres et les protocoles de sécurité, pour accéder à des données personnelles, diffuser des logiciels malveillants, contourner les contrôles d’accès au réseau ou détourner du trafic. Elle peut viser des sites web, des appels téléphoniques, des e-mails et des serveurs.
D’après des études récentes, l’usurpation d’identité est le type de cybercriminalité le plus courant en 2021, et sa fréquence a doublé ces dernières années. Les attaques par hameçonnage ont touché plus de 80 % des organisations dans le monde.
C’est donc un vrai problème, que tout entrepreneur devrait traiter. L’une des façons de s’y prendre consiste à créer un enregistrement DKIM. Il aide à repérer les adresses d’expéditeur falsifiées et à empêcher un attaquant de se faire passer pour quelqu’un d’autre, de modifier le corps du message en transit, et de voler une identité ou des actifs.
Comme SPF, dont le rôle est de fournir aux fournisseurs de messagerie et aux autres systèmes la liste des expéditeurs autorisés, DKIM s’appuie sur la notion de propriétaire du domaine. En clair, il crée une signature numérique pour chaque e-mail envoyé depuis le domaine autorisé. Grâce à la cryptographie asymétrique (la cryptographie à clé publique, où chaque entité possède deux clés), il dote l’e-mail d’une signature numérique unique. Pour la vérifier, les serveurs destinataires utilisent la clé publique accessible via l’enregistrement DKIM.
Qu’est-ce qu’un enregistrement DKIM ?
L’enregistrement DKIM est un enregistrement DNS TXT particulier, ajouté à la zone DNS du domaine d’envoi. Il contient une clé publique, générée en même temps que la clé privée. Les deux clés sont liées mathématiquement, ce qui permet au système de garantir l’authenticité d’un expéditeur et de vérifier que le message vient bien de l’expéditeur autorisé.
Vous pouvez avoir autant d’enregistrements DKIM que vous le souhaitez et que nécessaire. La seule limite vient de votre service d’hébergement DNS.
L’enregistrement DKIM complet de Returnpath.com
Comment fonctionne DKIM ?
Le fonctionnement de DKIM est plutôt simple. Tout le processus tient en quelques étapes :
- Étape 1 : le serveur d’envoi ajoute à un en-tête d’e-mail une clé privée que lui seul peut consulter.
- Étape 2 : le serveur destinataire reçoit l’e-mail et lance une vérification DKIM. Elle consiste à
- Récupérer la signature dans l’en-tête de l’e-mail.
- Obtenir l’enregistrement DKIM parmi les enregistrements DNS.
- Récupérer la clé publique du domaine.
- Valider la signature avec une clé publique.
- Étape 3 : au vu du résultat de la vérification, le serveur destinataire décide du sort de l’e-mail.
Si l’e-mail passe la vérification DKIM et que l’expéditeur est authentique et autorisé, il franchit la barrière de sécurité et arrive chez le destinataire. Gardez toutefois en tête qu’aucun facteur ne décide seul. Comme SPF, DKIM n’est que l’un des critères que le fournisseur de messagerie examine avant de trancher. L’e-mail peut donc quand même être rejeté.
Si l’e-mail échoue à la vérification DKIM, le serveur destinataire le considère comme illégitime. Là encore, rien ne garantit à 100 % qu’il sera refusé : il peut aussi finir dans le dossier spam.
Même si l’enregistrement DKIM fait partie des meilleurs standards, il conserve des faiblesses qui obligent les fournisseurs de messagerie à examiner plus d’un outil d’authentification. Passons en revue ses points faibles les plus courants.
Les faiblesses de l’enregistrement DKIM
Rien ne peut garantir une sécurité absolue. Chaque technologie et chaque standard a ses inconvénients ; l’enregistrement DKIM n’échappe pas à la règle.
Pour tirer le meilleur parti de l’enregistrement DKIM, vous devez connaître ses limites : elles vous indiquent quels protocoles et quels standards ajouter pour obtenir la meilleure protection d’ensemble.
Les faiblesses les plus notables de l’enregistrement DKIM sont les suivantes :
- Sa portée est limitée.
- Il ne vérifie que l’en-tête de l’e-mail et ignore le contenu. C’est une faille de sécurité majeure, à traiter absolument. Même avec DKIM en place, un pirate peut créer un message malveillant, le faire signer par DKIM et l’envoyer depuis le domaine de confiance. Des utilisateurs peuvent donc ouvrir des e-mails porteurs d’un virus.
- Il n’indique pas au destinataire comment traiter les messages qui échouent à l’authentification.
- Aucun des algorithmes de canonicalisation de DKIM (simple et relaxed) ne tient compte de MIME. Certains serveurs peuvent donc casser la signature DKIM en réécrivant la structure MIME.
- Une authentification avec des clés courtes (de 384 à 512 bits) se factorise facilement. Utilisez des clés de 1024 bits au minimum.
- Si l’e-mail authentifié est transféré, par un ESP par exemple, il peut être rejeté par les appareils mobiles.
- DKIM ne peut pas empêcher la diffusion de messages déjà signés qui se révèlent falsifiés.
- La validité des signatures peut être limitée par un tag d’expiration.
- Certains noms de domaine en liste blanche sont approuvés sur la seule base de DKIM. Les e-mails qui en proviennent sont jugés sûrs sans autre question, ce qui peut servir de terrain à l’usurpation d’identité et à l’hameçonnage.
Cela dit, ces défauts ne doivent pas vous dissuader d’imposer ce niveau de sécurité. D’abord, ils se corrigent avec d’autres protocoles, DMARC en tête, qui dit aux serveurs destinataires comment traiter les messages en échec d’authentification. Or 42 % des domaines que nous contrôlons n’ont toujours aucune politique DMARC, ce qui laisse DKIM travailler sans ce filet. Ensuite, DKIM apporte de vrais bénéfices. Voyons pourquoi la vérification DKIM est importante.
Pourquoi la vérification DKIM est-elle importante ?
DKIM est devenu presque un préalable pour tout expéditeur légitime : sur les domaines que nous testons, 87 % signent leurs envois avec une clé DKIM fonctionnelle, et les 13 % restants apparaissent ostensiblement non authentifiés aux yeux des fournisseurs de messagerie. Malgré ses points faibles, DKIM est vivement recommandé, parce qu’il apporte beaucoup à une entreprise. Par exemple :
- Les e-mails signés avec DKIM paraissent légitimes, aux serveurs comme aux abonnés.
- DKIM garantit que les messages ne sont pas modifiés en transit entre le serveur d’envoi et le serveur destinataire.
- Les e-mails signés avec DKIM finissent moins souvent dans le dossier spam.
- DKIM combat l’usurpation d’identité et rend donc le web plus sûr.
- L’enregistrement DKIM se marie parfaitement avec SPF et les autres protocoles de sécurité.
- DKIM est pleinement compatible avec l’infrastructure e-mail : il ne casse pas votre newsletter.
- Vous ne pouvez pas mettre en place DMARC sans avoir d’abord mis en place DKIM.
- Une couche de confiance supplémentaire dans votre signature peut améliorer vos taux de conversion.
- DKIM améliore la délivrabilité et, ipso facto, le taux d’ouverture, ce qui vous donne de vraies chances de mener des campagnes emailing efficaces.
- DKIM renforce la réputation d’expéditeur, que vous utilisiez une adresse IP partagée ou dédiée. C’est de plus en plus important pour les startups et les petites entreprises, que les fournisseurs de messagerie regardent souvent avec méfiance.
- DKIM améliore la réputation de la marque.
Infographie sur la délivrabilité des e-mails
Comment configurer un enregistrement DKIM ?
Que vous passiez par un ESP qui fait l’essentiel du travail ou que vous exploitiez votre propre serveur de messagerie, il vous faut deux choses :
- une clé privée unique, conservée en lieu sûr ;
- une clé publique, que vous partagerez avec les autres systèmes, ESP, fournisseurs de messagerie ou serveurs destinataires, pour la vérification DKIM.
Comme les enregistrements SPF, DKIM utilise aussi des enregistrements DNS TXT particuliers pour stocker et partager les clés. Il a son format et sa syntaxe propres.
Protéger votre domaine avec DKIM est une opération simple, qui tient en cinq étapes.
Étape 1 : rassembler les informations
Recensez les domaines que vous autorisez à envoyer des e-mails à vos abonnés. Tous les domaines d’envoi concernés doivent avoir des enregistrements DKIM, publiés dans des enregistrements DNS visibles depuis l’extérieur.
Étape 2 : ouvrir l’éditeur d’enregistrements
Ouvrez l’éditeur d’enregistrements, autrement dit l’éditeur DNS de DNSimple. Il vous servira à créer, modifier, consulter et gérer des enregistrements DNS. Les ESP et les panneaux de configuration des hébergeurs proposent en général un assistant intuitif.
Étape 3 : créer une paire de clés privée et publique
Si vous utilisez un ESP ou Google App (Gmail), ils vous fournissent les clés. Elles arrivent soit dans votre zone sous forme d’enregistrement TXT, soit sous forme de CNAME, l’enregistrement de nom canonique. Le second pointe en général vers la clé hébergée dans le DNS du fournisseur.
Vous pouvez aussi générer cette paire avec des outils en ligne, par exemple DKIMCore Keys, qui produit une paire de clés publique et privée de 1024 bits. Un seul inconvénient : vos clés seront stockées dans la base de données du service. Pour éviter ce défaut, tournez-vous vers des services payants.
Si le code ne vous fait pas peur, vous pouvez toujours générer cette paire sur votre machine avec l’outil en ligne de commande OpenSSL. La commande ressemble à ceci :
openssl genrsa -out your_domain_name.com.priv 1024
openssl rsa -in your_domain_name.com.priv -pubout > your_domain_name.com.pub
Parcourez ce tutoriel utile, How to create a DKIM record with OpenSSL, pour en saisir les bases.
Où placer les clés publique et privée ?
La clé publique va dans l’enregistrement DNS TXT public.
La clé privée s’ajoute à l’en-tête de l’e-mail.
Étape 4 : créer l’enregistrement DKIM
Selon votre hébergeur ou votre ESP, vous disposerez d’un assistant à l’interface intuitive pour créer un enregistrement DKIM. En règle générale, la marche à suivre tient en quelques gestes simples :
- Ajouter le domaine et les sous-domaines dans l’onglet des domaines.
- Copier l’enregistrement DNS TXT DKIM généré, en général dans l’onglet « Domain Verification » ou équivalent.
- Ouvrir l’interface de votre fournisseur DNS et l’y ajouter.
Même si les ESP investissent dans la protection et la cybersécurité, il reste vivement recommandé de configurer des éléments de vérification propres à votre domaine et à votre organisation.
Si vous êtes seul aux commandes, vous pouvez générer l’enregistrement DKIM via des services en ligne, en fournissant votre domaine et votre sélecteur, comme pour la paire de clés. Notre DKIM record generator construit l’enregistrement TXT à partir de votre domaine et de votre sélecteur en quelques secondes. Vous pouvez aussi regarder ces outils :
- DKIM Generator by EasyDmarc ;
- DKIM Wizard de Sparkpost ;
- Free DKIM Record Generator from Dmarcly.
Vous pouvez même y choisir la longueur de la clé, qui doit être la plus grande possible.
Étape 5 : créer l’enregistrement de politique
Si un domaine utilise Domain Keys, configurez un enregistrement de politique unique, sauf si votre ESP se charge de tout le travail à votre place.
L’enregistrement de politique est un enregistrement DNX TXT indispensable, formé du préfixe unique _domainkey et de votre nom de domaine. Il ressemble à ceci :
_domainkey.example.com
Dans cet enregistrement, vous pouvez préciser la politique en ajoutant un paramètre :
- « o=- », qui signifie que tous les e-mails envoyés depuis ce domaine précis sont signés.
- « o=~ », qui signifie que seuls certains e-mails envoyés depuis ce domaine sont signés.
Un dernier point
Il est vivement recommandé de renouveler vos clés privée et publique au moins tous les trois mois. Les anciennes clés doivent être révoquées. N’ajoutez toutefois pas les nouvelles clés en supprimant les anciennes au même moment : les changements doivent d’abord prendre effet. En règle générale, cela demande de 24 à 48 heures. Attendez donc quelques jours avant de révoquer l’ancien matériel.
Les outils pour vérifier DKIM
Le principal risque avec l’enregistrement DKIM : s’il est mal construit ou mal renvoyé, les fournisseurs de messagerie destinataires bloqueront plus volontiers l’e-mail, simplement parce qu’ils voient dans une implémentation incorrecte le signe d’une cyberattaque.
D’où l’importance de vérifier DKIM, puis de contrôler à nouveau vos enregistrements juste après les avoir créés. Comment faire ? C’est simple : utilisez des outils dédiés. Ils contrôlent deux points essentiels :
- Une clé publique DKIM est-elle bien présente ?
- La syntaxe DKIM est-elle correcte ?
Il existe toute une liste d’inspecteurs en ligne fiables, dont notre propre DKIM checker, chacun avec une interface intuitive où lancer rapidement une vérification DKIM et confirmer que tout va bien et que la couche de sécurité est en place. Choisissez celui qui vous convient le mieux.
- Unspam. Unspam est un outil professionnel de test antispam et de prédiction de heatmap, à l’interface intuitive. Sa mission première : vous éclairer sur la sûreté de vos e-mails. Vous y trouverez un rapport sur l’enregistrement DKIM, mais aussi sur SPF et DMARC. Toute la vérification de l’enregistrement DKIM se résume à envoyer un e-mail à l’adresse de test. Simple.
- Mail Tester. Contrairement à Unspam, Mail Tester ne fait qu’une seule chose : il contrôle si votre domaine possède les deux signatures e-mail standard (SPF et DKIM) et si elles sont correctement configurées et valides à l’instant précis. Ici, vous devez saisir votre domaine et votre sélecteur DKIM.
- DKIM Inspector. DKIM Inspector est un outil en ligne créé par Dmarcian, dont l’équipe connaît bien les menaces en ligne. Leur outil vérifie l’enregistrement DKIM et vous dit si sa partie publique est correcte et correctement implémentée. L’interface est la même que dans l’exemple précédent. Vous devez connaître votre domaine et votre sélecteur DKIM.
- L’outil Inspector d’Agari. Ce lookup d’enregistrements DKIM examine vos en-têtes d’e-mail pour renseigner la page de statut de la signature DKIM.
Vous l’avez peut-être remarqué : la plupart des outils de vérification DKIM demandent votre sélecteur DKIM, sauf Unspam, qui se charge de tout à votre place. Voyons donc où et comment récupérer ce sélecteur.
Comment trouver votre sélecteur DKIM ?
Le sélecteur DKIM est la partie de l’en-tête d’e-mail qui indique où se trouve la clé publique dans le DNS. Le serveur destinataire s’en sert pour récupérer la clé. Son but premier : permettre à un même nom de domaine d’avoir plusieurs clés DKIM, pour une meilleure protection.
Le plus simple pour obtenir votre sélecteur DKIM est de vous envoyer un e-mail à vous-même. Suivez ensuite cette procédure en 4 étapes :
- Ouvrez l’e-mail.
- Cliquez sur « Afficher l’original », parfois nommé « view raw » ou « view full headers ».
- Cherchez DKIM dans l’en-tête de l’e-mail : la ligne commence par « DKIM-signature ».
- Repérez l’attribut qui commence par « s= ». C’est votre sélecteur DKIM.
S’il y a plusieurs signatures DKIM, retenez celle qui contient votre domaine.
Si vous ne trouvez aucune ligne DKIM-signature dans l’en-tête de l’e-mail, c’est qu’il n’y a pas de signature du tout.
Conclusion
Parmi les critères décisifs que les fournisseurs de messagerie examinent pour trancher le sort d’un e-mail, DKIM est étonnamment simple à imposer : une routine en 5 étapes, sans compétence particulière ni temps supplémentaire. Si le courage vous manque, générez-le via des services en ligne fiables, ou confiez le sujet au support de votre ESP ou de votre hébergeur.
Malgré cette simplicité, il offre de nombreux bénéfices aux entreprises du numérique. Il aide à combattre l’usurpation d’identité et l’hameçonnage, à améliorer la délivrabilité, à garantir de bons taux d’ouverture et à rendre le web et les échanges entre utilisateurs plus sûrs.
Cette couche de sécurité n’est pas obligatoire, mais elle est vivement recommandée : elle vous donne une vraie chance de mener vos activités sereinement, malgré les menaces numériques qui guettent à chaque coin de rue.
