DKIM
Signature cryptographique ajoutée aux courriels, qui prouve qu’ils proviennent bien du domaine annoncé et n’ont pas été modifiés.
Définition complète
DKIM (DomainKeys Identified Mail) est un mécanisme d’authentification des courriels normalisé par l’IETF dans la RFC 6376. Le serveur d’envoi ajoute à chaque message une signature cryptographique calculée sur certains en-têtes et sur le contenu, à l’aide d’une clé privée.
La clé publique correspondante est publiée dans le DNS du domaine. Le serveur destinataire la récupère et vérifie la signature : si elle est valide, il sait que le message a bien été émis sous la responsabilité de ce domaine et que les parties signées n’ont pas été modifiées en chemin.
Contrairement à SPF, DKIM résiste généralement aux transferts de courriels, car la signature voyage avec le message. Il ne dit pas en revanche quoi faire d’un message non signé : c’est le rôle de DMARC. La RFC 8301, qui met à jour DKIM, impose des clés RSA d’au moins 1024 bits et recommande 2048 bits.
Source : IETF, RFC 6376 (DKIM Signatures), RFC 8301, ANSSI, Recommandations relatives à l’interconnexion d’un SI à Internet (PA-066)
Exemple concret
Une agence immobilière envoie des courriels de relance à ses locataires depuis un logiciel de gestion hébergé. Sans signature DKIM, les messages arrivent souvent en courrier indésirable. L’agence active DKIM dans le logiciel, publie la clé publique fournie dans son DNS : les messages sont désormais authentifiés et peuvent être alignés avec sa politique DMARC.
Comment se protéger
- Activer la signature DKIM sur chaque service qui envoie des courriels au nom du domaine (messagerie, e-mailing, facturation).
- Utiliser des clés RSA de 2048 bits.
- Protéger la clé privée et changer régulièrement les clés (rotation par sélecteurs).
- Supprimer du DNS les clés des services qui ne sont plus utilisés.
- Vérifier, via les rapports DMARC, que les messages signés sont bien alignés avec le domaine visible de l’expéditeur.
Questions fréquentes
Non. DKIM signe les messages pour prouver leur origine et leur intégrité, mais le contenu reste lisible. La confidentialité relève d’autres mécanismes (chiffrement du transport ou du message).
Oui. Les deux sont complémentaires : SPF contrôle le serveur d’envoi, DKIM authentifie le message lui-même et survit mieux aux transferts. DMARC s’appuie sur l’un ou l’autre pour appliquer une politique.
Termes liés
Chiffrement
Transformation des données pour les rendre illisibles sans clé.
Phishing
Technique d'hameçonnage par email pour voler des données sensibles.
DMARC
Politique publiée dans le DNS qui indique quoi faire des courriels usurpant un domaine et fournit des rapports sur leur authentification.
SPF
Enregistrement DNS qui liste les serveurs autorisés à envoyer des courriels au nom d’un domaine, pour limiter l’usurpation.
Vous avez besoin d'un expert en DKIM ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.