Saisissez un domaine et un sélecteur DKIM pour interroger l’enregistrement TXT de clé publique publié à <selector>._domainkey.<domain> et lire ses balises. L’outil est gratuit, s’exécute instantanément dans votre navigateur via DNS-over-HTTPS, sans inscription et sans rien conserver.
Créez un compte Unspam gratuit pour enregistrer vos résultats et relancer ces vérifications à tout moment, afin de repérer une configuration défaillante avant qu’elle ne vous coûte cher. Sans carte bancaire.
DKIM (DomainKeys Identified Mail) permet à un serveur d’envoi de joindre une signature cryptographique à chaque message. La clé publique correspondante est publiée dans le DNS sous forme d’enregistrement TXT à <selector>._domainkey.<domain>, où le sélecteur est une étiquette choisie par l’expéditeur afin de pouvoir exploiter plusieurs clés à la fois. Le serveur de réception lit le sélecteur dans l’en-tête DKIM-Signature du message, récupère cette clé publique et vérifie la signature pour confirmer que le message n’a pas été altéré en route et provient bien du domaine signataire. Une signature DKIM valide est aussi l’un des moyens pour un message de s’aligner sur DMARC et de le valider. Les fournisseurs de messagerie comme Gmail et Yahoo attendent des gros expéditeurs qu’ils s’authentifient avec DKIM : un enregistrement publié et correct fait donc partie du chemin vers la boîte de réception.
DKIM se publie par sélecteur, non par domaine : vous devez donc en fournir un. Trouvez-le dans un message reçu du domaine : ouvrez les en-têtes bruts et lisez la balise s= dans la ligne DKIM-Signature. Si aucun en-tête n’est consultable, essayez les sélecteurs courants comme google (Google Workspace), selector1 et selector2 (Microsoft 365), k1 (Mailgun), s1 et s2 (SendGrid), k1, k2 et k3 (Mailchimp), default, ou dkim.
La balise de version. Elle doit indiquer v=DKIM1 et, lorsqu’elle est présente, être la première balise de l’enregistrement. Toute autre valeur signifie que l’enregistrement n’est pas une clé DKIM valide.
Le type de clé. La plupart des enregistrements utilisent k=rsa ; certaines configurations modernes utilisent k=ed25519. Si k= est absent, la valeur par défaut est rsa : une balise k manquante est donc normale.
La clé publique encodée en base64. C’est le cœur de l’enregistrement : elle doit former une seule chaîne ininterrompue, sans espaces ni retours à la ligne. La RFC 8301 fixe un minimum de 1024 bits pour RSA, et 2048 bits est la recommandation actuelle.
Si l’enregistrement existe mais que p= est vide (p=), la clé a été délibérément révoquée conformément à la RFC 6376. C’est différent d’une absence d’enregistrement : un p= vide indique aux vérificateurs de considérer comme invalide toute signature utilisant ce sélecteur.
La requête ne renvoie rien parce que le sélecteur est erroné ou que la clé n’a jamais été publiée. Confirmez le sélecteur exact à partir de la balise s= d’un véritable en-tête DKIM-Signature, puis relancez le contrôle. Chaque sélecteur est indépendant : la bonne clé peut se trouver sous un autre sélecteur.
L’enregistrement est présent mais la valeur p= est vide, ce que la RFC 6376 définit comme une clé révoquée. Les serveurs de réception feront échouer toute signature établie avec ce sélecteur. Republiez l’enregistrement avec la clé publique en cours, ou faites pointer votre plateforme d’envoi vers un sélecteur dont la valeur p= est encore valide.
La valeur p= a été collée sur plusieurs chaînes, ou comporte des espaces et des retours à la ligne parasites : les vérificateurs reconstituent alors une mauvaise clé. Publiez la clé base64 comme une valeur continue. Si votre hébergeur DNS découpe les longs enregistrements TXT en morceaux entre guillemets, ce n’est pas un problème, tant qu’aucune espace ne se retrouve à l’intérieur de la clé.
Si l’enregistrement ne commence pas par v=DKIM1, les analyseurs peuvent le rejeter. Vérifiez que la balise de version est présente et placée en premier, les balises étant séparées par des points-virgules.
Une clé RSA de 1024 bits respecte l’ancien minimum, mais 2048 bits est la recommandation actuelle ; par ailleurs, une balise t=y marque le domaine comme étant en test, si bien que les serveurs de réception peuvent ignorer les échecs. Pour vos envois en production, utilisez une clé de 2048 bits et retirez t=y une fois la signature confirmée.
