01DKIM, la signature de vos emails
DKIM (DomainKeys Identified Mail) fait signer cryptographiquement chaque email sortant par votre serveur : la clé privée signe, et les messageries destinataires vérifient la signature avec la clé publique que vous publiez dans le DNS, sous sélecteur._domainkey.votre-domaine. Une signature valide prouve que le message vient bien de votre domaine et n'a pas été altéré en route — c'est, avec SPF, l'un des deux piliers sur lesquels s'appuie DMARC.
Précision importante : si vous envoyez via Google Workspace, Microsoft 365, Brevo, Mailjet…, c'est le prestataire qui génère la clé et vous donne l'enregistrement à publier — vous n'avez pas besoin de ce générateur. Il sert quand c'est vous qui tenez le serveur d'envoi (Postfix + OpenDKIM, rspamd, Exim, appliance) ou quand un logiciel vous demande de fournir votre propre paire de clés.
02Comprendre chaque champ
- Sélecteur
- Le nom qui distingue cette clé des autres (s2026, mail…) : il apparaît dans la signature de chaque email et dans le nom de l'enregistrement DNS. Un domaine peut publier plusieurs clés sous des sélecteurs différents.
- RSA 2048
- Le standard actuel : accepté partout, bon équilibre robustesse/taille. La RFC 8301 impose au minimum 1024 bits et recommande 2048.
- RSA 4096
- Plus robuste mais l'enregistrement TXT dépasse 255 caractères (découpage nécessaire) et certains vérificateurs anciens le refusent. Rarement utile : on préfère faire tourner les clés 2048.
- Ed25519
- Courbe elliptique moderne (RFC 8463) : clé minuscule, signature rapide. Support encore partiel côté messageries — à publier en second sélecteur, en plus du RSA.
- p=
- La clé publique encodée en base64 dans l'enregistrement TXT. La vider (p=) révoque la clé.
- Clé privée
- Le fichier PEM à installer sur le serveur qui signe. Ne la partagez jamais : quiconque la détient peut signer des emails au nom de votre domaine.
03Publier, installer, vérifier
1. Publiez l'enregistrement TXT dans la zone DNS de votre domaine (hôte sélecteur._domainkey). 2. Installez la clé privée dans votre logiciel de signature (OpenDKIM : KeyFile ; rspamd : dkim_signing.conf) avec le même sélecteur. 3. Envoyez-vous un email et regardez l'en-tête DKIM-Signature et le verdict dkim=pass.
Vérifiez ensuite la publication avec notre test email en renseignant le sélecteur — il contrôle aussi SPF et DMARC, que vous pouvez générer avec le générateur SPF & DMARC. La propagation de l'enregistrement se suit avec le test de propagation DNS.
04Questions fréquentes
Est-ce prudent de générer une clé privée dans un navigateur ?
Oui : la génération utilise l'API WebCrypto, le générateur de nombres aléatoires cryptographique du navigateur — le même niveau de qualité qu'un openssl local. Surtout, rien n'est transmis : aucune requête réseau ne part de cette page pendant la génération, ce qui se vérifie dans l'onglet Réseau des outils de développement. La seule copie de la clé privée est celle que vous collez sur votre serveur.
RSA 2048 ou 4096 : que choisir ?
2048. C'est la recommandation de la RFC 8301, c'est accepté par tous les vérificateurs, et l'enregistrement tient dans une chaîne TXT après découpage minimal. Le 4096 n'apporte en pratique qu'un enregistrement encombrant et des incompatibilités : la bonne hygiène n'est pas une clé plus grosse, c'est une rotation régulière (changer de clé et de sélecteur tous les ans, par exemple).
Qu'est-ce que le sélecteur, concrètement ?
Un simple libellé qui permet à un domaine d'avoir plusieurs clés en parallèle. L'email signé contient s=sélecteur dans son en-tête DKIM-Signature ; le destinataire va chercher la clé publique dans le DNS à sélecteur._domainkey.domaine. Cela permet la rotation sans coupure : publier la nouvelle clé sous un nouveau sélecteur, basculer la signature, puis retirer l'ancienne.
Mon prestataire d'envoi m'a déjà donné un enregistrement DKIM : dois-je en générer un autre ?
Non. Quand l'envoi passe par un prestataire (Google Workspace, Microsoft 365, Brevo, Mailjet…), c'est lui qui détient la clé privée et signe vos emails : publiez l'enregistrement qu'il vous fournit, c'est tout. Ce générateur ne concerne que les serveurs d'envoi que vous administrez vous-même.
Comment révoquer ou faire tourner une clé DKIM ?
Pour révoquer : publiez l'enregistrement avec p= vide (la RFC prévoit ce cas) ou supprimez-le après un délai. Pour la rotation, la méthode propre : générez une nouvelle paire sous un nouveau sélecteur, publiez-la, configurez le serveur pour signer avec, vérifiez que dkim=pass, puis retirez l'ancien enregistrement après quelques jours — les emails encore en transit restent vérifiables.