Vérifiez votre configuration DKIM en quelques secondes
DKIM (DomainKeys Identified Mail) est l'un des piliers de l'authentification email. Correctement configuré, il permet aux serveurs destinataires de vérifier que vos emails proviennent bien d'un système autorisé et n'ont pas été altérés en transit.
Mal configuré, DKIM devient un tueur silencieux de délivrabilité.
L'inspecteur DKIM de CaptainDNS vérifie votre enregistrement DNS exactement comme le voient les serveurs destinataires. Pas d'hypothèses. Pas de raccourcis. L'état DNS réel de votre domaine.
Comment fonctionne DKIM ?
DKIM répond à une question simple pour le serveur destinataire :
« Puis-je faire confiance cryptographiquement à ce message ? »
Le processus en 3 étapes :
- Signature : Votre serveur d'envoi signe chaque email avec une clé privée
- Publication : Votre domaine publie la clé publique correspondante dans un enregistrement DNS TXT
- Vérification : Le serveur destinataire récupère la clé publique et vérifie la signature
Si l'enregistrement DNS est manquant, mal formé, tronqué ou publié sous le mauvais sélecteur, la vérification échoue - même si votre ESP indique que tout est correct.
Comment utiliser l'inspecteur en 3 étapes
Étape 1 : Identifier le domaine et le sélecteur
- Domaine : Votre domaine d'envoi (ex:
captaindns.com) - Sélecteur : L'identifiant de la clé DKIM (ex:
google,selector1,s1)
Comment trouver le sélecteur ?
- Dans les en-têtes d'un email envoyé, cherchez
DKIM-Signature: s=selecteur - Dans la documentation de votre ESP (Google Workspace, Microsoft 365, etc.)
Étape 2 : Lancer l'inspection
Saisissez le domaine et le sélecteur ci-dessus. L'outil effectue une requête DNS vers :
selecteur._domainkey.captaindns.com
Étape 3 : Analyser les résultats
L'inspecteur affiche :
- ✅ L'enregistrement brut tel que publié dans le DNS
- ✅ Les balises décodées (version, type de clé, clé publique)
- ✅ Les erreurs détectées avec explications et recommandations
- ✅ La compatibilité DMARC (alignement du domaine)
Ce que vérifie l'inspecteur DKIM
L'outil va au-delà d'une simple requête DNS. Il vérifie si votre configuration DKIM est opérationnelle, pas seulement présente.
| Vérification | Description |
|---|---|
| Existence | L'enregistrement TXT existe pour le sélecteur spécifié |
| Format TXT | L'enregistrement est un TXT valide (pas un CNAME orphelin) |
| Syntaxe | Les balises obligatoires (v, k, p) sont présentes et correctes |
| Clé publique | La clé est complète, lisible et au bon format base64 |
| Longueur de clé | RSA 2048 bits minimum recommandé |
| Propagation | L'enregistrement est visible depuis les serveurs DNS publics |
Quand DKIM semble correct mais échoue quand même
C'est l'un des cas les plus fréquents en production.
Problème 1 : Mauvais sélecteur
Symptôme : L'inspecteur ne trouve pas l'enregistrement
Diagnostic : Vous interrogez google._domainkey.captaindns.com mais l'enregistrement est sous selector1._domainkey.captaindns.com
Solution : Vérifiez le sélecteur exact dans les en-têtes de vos emails (DKIM-Signature: s=...)
Problème 2 : Clé tronquée
Symptôme : Erreur public_key_parse_error ou signature invalide
Diagnostic : La clé publique a été coupée lors du copier-coller dans l'interface DNS
Solution : Republisez la clé complète. Une clé RSA 2048 bits fait environ 400 caractères.
Problème 3 : Enregistrements multiples en conflit
Symptôme : Erreur lookup_multiple_dkim
Diagnostic : Plusieurs enregistrements TXT existent pour le même sélecteur
Solution : Supprimez les enregistrements obsolètes, conservez uniquement le bon.
Problème 4 : CNAME vs TXT
Symptôme : Erreur lookup_cname_alias
Diagnostic : L'enregistrement est un CNAME pointant vers votre ESP, mais la cible n'existe pas ou ne résout pas
Solution : Vérifiez que le CNAME cible est correct et actif chez votre fournisseur.
Problème 5 : Propagation DNS incomplète
Symptôme : L'inspecteur voit l'enregistrement, mais certains destinataires non
Diagnostic : Le TTL n'a pas encore expiré sur tous les serveurs DNS
Solution : Attendez la propagation complète (jusqu'à 48h selon le TTL précédent).
DKIM seul ne suffit pas
DKIM est essentiel, mais ne fonctionne pas isolément.
| Protocole | Rôle | Relation avec DKIM |
|---|---|---|
| SPF | Définit qui peut envoyer | Indépendant mais complémentaire |
| DKIM | Protège l'intégrité du message | - |
| DMARC | Définit quoi faire si échec | Requiert SPF ou DKIM aligné |
Un enregistrement DKIM valide non aligné avec DMARC peut quand même entraîner des emails en quarantaine ou rejetés. L'alignement DMARC vérifie que le domaine de la signature DKIM (d=) correspond au domaine From: de l'email.
Différence entre syntaxe et inspection DNS
| Aspect | Vérificateur de syntaxe | Inspecteur (cet outil) |
|---|---|---|
| Input | Valeur DKIM copiée-collée | Domaine + sélecteur |
| Méthode | Analyse locale | Requête DNS réelle |
| Quand | Avant publication | Après publication |
| Ce qu'il détecte | Erreurs de format | Propagation, résolution, conflits |
Workflow recommandé :
- Syntaxe : Utilisez le vérificateur de syntaxe DKIM avant publication
- Publication : Ajoutez l'enregistrement TXT dans votre zone DNS
- Inspection : Utilisez cet inspecteur pour confirmer la propagation
FAQ - Questions fréquentes
Q : Qu'est-ce qu'un sélecteur DKIM ?
R : Le sélecteur est un identifiant permettant à un domaine de publier plusieurs clés DKIM simultanément. Il fait partie du nom DNS : selecteur._domainkey.captaindns.com. Chaque ESP ou système d'envoi peut utiliser son propre sélecteur, ce qui permet les rotations de clés et les configurations multi-fournisseurs.
Q : Mon ESP dit que DKIM est valide, mais l'inspecteur trouve une erreur. Pourquoi ?
R : Les ESP valident leur configuration interne, pas nécessairement ce qui est visible publiquement dans le DNS. L'inspecteur vérifie ce que les serveurs destinataires voient réellement - c'est la seule chose qui compte pour la délivrabilité.
Q : Est-ce sans risque de tester mes enregistrements ?
R : Oui. L'outil effectue uniquement des requêtes DNS en lecture. Aucun email n'est envoyé. Aucune modification n'est apportée à votre configuration.
Q : DKIM est valide, mais mes emails vont en spam. Pourquoi ?
R : La validité DKIM est nécessaire mais pas suffisante. La mise en boîte de réception dépend aussi de : SPF, alignement DMARC, réputation IP/domaine, comportement d'envoi, et contenu du message.
Q : À quelle fréquence vérifier ma configuration DKIM ?
R : Vérifiez après chaque changement DNS, migration d'ESP, ou rotation de clé. Des contrôles périodiques en production sont recommandés, surtout si vous utilisez plusieurs fournisseurs d'envoi.
Q : Comment savoir si DKIM est aligné avec DMARC ?
R : L'alignement DKIM vérifie que le domaine d= de la signature DKIM correspond au domaine From: de l'email. L'inspecteur indique si votre configuration est compatible avec l'alignement DMARC.
Outils complémentaires
| Outil | Utilité |
|---|---|
| Vérificateur de syntaxe DKIM | Valider une valeur DKIM avant publication DNS |
| Inspecteur SPF | Vérifier votre enregistrement SPF |
| Inspecteur DMARC | Tester votre politique DMARC |
| Analyseur d'en-têtes email | Diagnostiquer les échecs d'authentification sur un email reçu |
| Propagation DNS | Vérifier la propagation mondiale de vos enregistrements |
Ressources utiles
- RFC 6376 - DKIM Signatures (spécification officielle)
- Google - Configurer DKIM (guide Google Workspace)
- Microsoft - DKIM dans Exchange Online (guide Microsoft 365)
- DMARC.org - Alignment (comprendre l'alignement DMARC)