Enregistrements DKIM, sélecteurs et analyse des clés

1. Vue d’ensemble : DKIM Records Detected

Cette ligne de votre rapport DNSprobe confirme si des enregistrements DKIM ont été trouvés pour les sélecteurs testés et affiche leurs détails dans une liste compacte.

Pourquoi DKIM est important

DKIM est l’un des deux signaux principaux utilisés par DMARC. Sans signatures DKIM valides, de nombreux systèmes de réception considéreront vos messages comme moins fiables, surtout en présence de politiques DMARC strictes.

Comment lire ce bloc

Pour chaque sélecteur, vous voyez le nom d’hôte (selector._domainkey.votredomaine), l’enregistrement DKIM, un éventuel libellé de fournisseur et un court Key Analysis. En bas du bloc, DNSprobe affiche le DKIM Evaluation Score et un verdict en une phrase.

Bonnes pratiques générales

• S’assurer que chaque système d’envoi que vous utilisez publie au moins un sélecteur DKIM fonctionnel.
• Utiliser des sélecteurs différents pour les fournisseurs ou serveurs distincts afin de pouvoir faire tourner les clés indépendamment.
• Tenir une liste des sélecteurs actifs et supprimer ceux qui ne servent plus.

2. Sélecteurs DKIM et noms d’hôtes

Le sélecteur est la première partie du nom DNS DKIM. Il permet à plusieurs clés de coexister pour un même domaine et rend possible la rotation des clés sans interruption.

Pourquoi les sélecteurs sont importants

Les sélecteurs vous permettent d’utiliser des clés distinctes pour différents serveurs de courriel, applications ou fournisseurs tiers. Cela évite de partager la même clé privée partout et simplifie la rotation.

Comment DNSprobe affiche les sélecteurs

Pour chaque sélecteur qui répond, DNSprobe affiche le nom du sélecteur, le nom complet sous _domainkey, et lorsqu’il le reconnaît, un libellé indiquant la plateforme (par exemple DirectAdmin, Mailchimp, etc.).

Bonnes pratiques pour les sélecteurs

• Utiliser des noms de sélecteurs explicites qui indiquent à quel système ils appartiennent (par exemple mail2025, mcsv1).
• Éviter de réutiliser le même sélecteur pour des systèmes sans rapport ; introduire de nouveaux sélecteurs lors d’un changement de fournisseur.
• Documenter les sélecteurs actifs et ceux qui peuvent être retirés en toute sécurité.

3. Enregistrements de clé DKIM (TXT ou CNAME)

Un enregistrement DKIM ressemble généralement à v=DKIM1; k=rsa; p=… et contient la clé publique utilisée pour vérifier les signatures. Certains fournisseurs demandent plutôt de publier un CNAME vers une clé qu’ils hébergent eux-mêmes.

Pourquoi les enregistrements de clé sont essentiels

Si l’enregistrement de clé est absent, mal formé ou pointe vers une mauvaise cible, les destinataires ne peuvent pas vérifier vos signatures DKIM et peuvent traiter les messages comme non authentifiés.

Comment DNSprobe affiche les clés DKIM

Dans la section DKIM, chaque entrée de sélecteur inclut la valeur TXT DKIM brute ou la cible CNAME, ce qui permet de la comparer à la configuration fournie par votre panneau d’hébergement ou votre fournisseur de courriel.

Bonnes pratiques pour les enregistrements DKIM

• Inclure systématiquement les balises v=DKIM1 et k=rsa (ou k=ed25519 lorsque c’est supporté) dans vos enregistrements TXT.
• Si un fournisseur vous demande de créer un CNAME DKIM, copier la cible exactement telle qu’elle est fournie, sans modifier le nom d’hôte.
• Ne jamais publier de clé privée dans le DNS ; seule la clé publique doit apparaître dans l’enregistrement DKIM.

4. Key Analysis : longueur et algorithme

Sous chaque clé, DNSprobe effectue une analyse Key Analysis centrée sur la longueur de la clé et l’algorithme afin de mettre en évidence les clés trop faibles ou dépassées.

Pourquoi la robustesse de la clé compte

Les clés courtes ou obsolètes peuvent être cassées plus facilement, ce qui affaiblit la protection offerte par DKIM. De plus en plus de fournisseurs déprécient les clés RSA 1024 bits au profit de clés de 2048 bits ou plus.

Comment DNSprobe évalue la force de la clé

DNSprobe extrait la clé publique à partir de la balise p= ou de la cible du fournisseur, calcule sa taille en bits et identifie l’algorithme (par exemple RSA). Il classe ensuite la longueur de la clé comme correcte ou faible selon les recommandations actuelles.

Bonnes pratiques pour la gestion des clés DKIM

• Utiliser des clés RSA d’au moins 2048 bits lorsque c’est possible, ou des algorithmes modernes comme ed25519 lorsque supportés.
• Faire tourner régulièrement les clés DKIM en introduisant un nouveau sélecteur et en retirant l’ancien après une période de recouvrement suffisante.
• S’assurer que toutes les clés actives respectent vos politiques de sécurité internes et les exigences de conformité.

5. DKIM Evaluation Score et verdict

En bas de la section DKIM, DNSprobe affiche un DKIM Evaluation Score et une courte phrase, par exemple « DKIM is properly configured. ».

Ce que signifie le score

Le score résume la présence de clés DKIM utilisables, leur niveau de sécurité et l’absence de problèmes évidents de configuration.

Comment DNSprobe calcule le score

Le score tient compte de la présence d’au moins une clé fonctionnelle, de la force des clés détectées et d’éventuelles incohérences. Des sélecteurs personnalisés non testés peuvent exister mais ne pas apparaître dans cette vue.

Comment utiliser le score DKIM

• Utiliser un score maximal comme confirmation que la configuration DKIM principale semble saine vue de l’extérieur.
• Si le score est plus faible que prévu, examiner les sélecteurs et les clés listés pour identifier ceux qui nécessitent une correction.
• Croiser le score DKIM avec l’analyse DMARC et SPF pour obtenir une vue globale de l’authentification de vos courriels.

6. Tester les enregistrements DKIM manuellement depuis votre propre terminal

La section DKIM de DNSprobe interroge les enregistrements TXT sur selector._domainkey.votredomaine pour vérifier que vos clés publiques sont publiées correctement. Chaque système de messagerie utilise un ou plusieurs sélecteurs (par exemple selector1 ou default). Vous pouvez consulter les enregistrements DKIM bruts depuis un terminal en interrogeant l’enregistrement TXT de chaque sélecteur.

Linux : utiliser dig (outils BIND)

Sur la plupart des distributions Linux, la commande dig est fournie par le paquet d’outils BIND. Les exemples ci-dessous montrent comment interroger l’enregistrement TXT DKIM pour un sélecteur et, si vous utilisez plusieurs sélecteurs, comment les vérifier un par un :

                dig selector1._domainkey.example.com TXT
                dig selector1._domainkey.example.com TXT +short
    
                # Si vous faites une rotation de clés ou utilisez plusieurs systèmes de messagerie, répétez la requête pour chaque sélecteur (selector2, default, mail, etc.)    
                dig selector2._domainkey.example.com TXT +short
    
                # Optionnel : filtrer la sortie pour n’afficher que la ligne qui commence par v=DKIM1 afin de simplifier la lecture    
                dig selector1._domainkey.example.com TXT | grep "v=DKIM1"
        

macOS : utiliser dig avec les outils intégrés

macOS inclut dig dans ses outils en ligne de commande. Ouvrez Terminal et exécutez les mêmes commandes que sous Linux pour lister l’enregistrement TXT DKIM de chaque sélecteur utilisé par votre fournisseur de messagerie :

                dig selector1._domainkey.example.com TXT
                dig selector1._domainkey.example.com TXT +short
    
                # Si vous faites une rotation de clés ou utilisez plusieurs systèmes de messagerie, répétez la requête pour chaque sélecteur (selector2, default, mail, etc.)    
                dig selector2._domainkey.example.com TXT +short
    
                # Optionnel : filtrer la sortie pour n’afficher que la ligne qui commence par v=DKIM1 afin de simplifier la lecture    
                dig selector1._domainkey.example.com TXT | grep "v=DKIM1"
        

Windows : utiliser nslookup

Sous Windows, l’outil historique nslookup permet d’interroger les enregistrements TXT sur selector._domainkey.votredomaine. Depuis une fenêtre Invite de commandes ou PowerShell, vous pouvez récupérer l’enregistrement DKIM pour chaque sélecteur configuré sur votre service de messagerie :

                nslookup -type=TXT selector1._domainkey.example.com
    
                REM Répétez la requête pour tout sélecteur supplémentaire configuré sur votre fournisseur de messagerie (selector2, default, mail, etc.)    
                nslookup -type=TXT selector2._domainkey.example.com
        

Important : n’interrogez que les enregistrements DKIM de domaines que vous possédez ou que vous êtes autorisé à analyser. Des requêtes automatisées et répétées vers des domaines tiers sans autorisation peuvent être considérées comme du trafic abusif par certains fournisseurs.