Pourquoi valider la syntaxe DKIM avant publication ?
Vous venez de générer une nouvelle paire de clés DKIM ou de copier un enregistrement depuis votre fournisseur de messagerie. Avant de le publier dans votre zone DNS, une erreur de syntaxe peut tout casser : balise manquante, clé tronquée, guillemets mal placés.
Le vérificateur de syntaxe DKIM analyse votre valeur localement - sans requête DNS - pour détecter ces problèmes avant qu'ils n'impactent votre délivrabilité.
Trois cas d'usage principaux :
- Nouvelle configuration DKIM : Validez la clé publique générée par votre serveur ou ESP avant de l'ajouter au DNS
- Migration de fournisseur : Vérifiez que la valeur copiée est complète et correctement formatée
- Rotation de clé : Assurez-vous que le nouveau sélecteur est prêt avant de remplacer l'ancien
Comment utiliser le vérificateur en 3 étapes
Étape 1 : Récupérer la valeur DKIM
Copiez la valeur de l'enregistrement DKIM depuis :
- Votre serveur de messagerie (Postfix, Exchange, etc.)
- Votre ESP (Google Workspace, Microsoft 365, Mailchimp, SendGrid...)
- Un générateur de clés DKIM en ligne
Format attendu :
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...
Étape 2 : Coller dans le vérificateur
Collez la valeur complète dans le champ ci-dessus. L'outil analyse instantanément :
- ✅ Présence des balises obligatoires (
v,k,p) - ✅ Format de la clé publique (base64 valide)
- ✅ Syntaxe des séparateurs et valeurs
- ✅ Longueur et type de clé (RSA 2048+ bits recommandé)
Étape 3 : Corriger et publier
Le rapport indique :
- Erreurs (rouge) : L'enregistrement est inutilisable - corrigez avant publication
- Avertissements (orange) : Techniquement valide mais risqué - à évaluer
- Succès (vert) : Prêt à publier dans votre zone DNS
Qu'est-ce qu'un enregistrement DKIM ?
Un enregistrement DKIM (DomainKeys Identified Mail) est un enregistrement TXT publié dans votre zone DNS. Il contient la clé publique permettant aux serveurs destinataires de vérifier la signature cryptographique de vos emails.
Anatomie d'un enregistrement DKIM :
| Balise | Obligatoire | Description | Exemple |
|---|---|---|---|
v | Oui | Version du protocole | v=DKIM1 |
k | Oui | Type de clé | k=rsa ou k=ed25519 |
p | Oui | Clé publique en base64 | p=MIIBIjAN... |
h | Non | Algorithmes de hachage | h=sha256 |
t | Non | Flags (test, strict) | t=y ou t=s |
s | Non | Services autorisés | s=email |
Exemple complet :
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAu5oI...
Erreurs de syntaxe fréquentes
Le vérificateur détecte automatiquement ces problèmes courants :
1. Clé publique tronquée
Symptôme : Erreur invalid_p_base64 ou public_key_parse_error
Cause : La clé a été coupée lors du copier-coller (limite de caractères, retour à la ligne mal géré).
Solution : Récupérez la clé complète depuis la source. Une clé RSA 2048 bits fait environ 400 caractères en base64.
2. Guillemets résiduels
Symptôme : Erreur record_trailing_quote ou invalid_tag_syntax
Cause : La valeur copiée contient des guillemets (") ou guillemets typographiques ("").
Solution : Supprimez tous les guillemets avant de coller la valeur.
3. Balise version manquante
Symptôme : Erreur missing_version_tag
Cause : L'enregistrement ne commence pas par v=DKIM1.
Solution : Ajoutez v=DKIM1; au début de l'enregistrement.
4. Clé RSA trop courte
Symptôme : Avertissement weak_key_length
Cause : Clé RSA inférieure à 2048 bits (souvent 1024 bits).
Solution : Générez une nouvelle paire de clés avec au minimum 2048 bits.
5. Séparateurs incorrects
Symptôme : Erreur invalid_tag_syntax
Cause : Points-virgules multiples (;;), espaces mal placés, ou caractères spéciaux.
Solution : Utilisez un seul ; entre chaque balise, sans espace avant le séparateur.
Différence entre vérification de syntaxe et inspection DNS
| Aspect | Vérificateur de syntaxe | Inspecteur d'enregistrement |
|---|---|---|
| Méthode | Analyse locale de la valeur | Requête DNS réelle |
| Quand l'utiliser | Avant publication | Après publication |
| Ce qu'il vérifie | Format, balises, structure | Propagation, résolution, alignement DMARC |
| Input | Valeur DKIM copiée | Domaine + sélecteur |
Workflow recommandé :
- Syntaxe : Validez la valeur avec ce vérificateur
- Publication : Ajoutez l'enregistrement TXT dans votre zone DNS
- Inspection : Utilisez l'inspecteur DKIM pour confirmer la propagation
Bonnes pratiques DKIM
Génération de clés
- Utilisez RSA 2048 bits minimum (4096 bits pour une sécurité maximale)
- Ed25519 émerge mais reste peu supporté par les destinataires
- Stockez la clé privée de manière sécurisée (jamais dans le DNS !)
Nommage du sélecteur
- Choisissez un nom court et unique :
google,mailchimp,s1,2024 - Le sélecteur complet sera :
selecteur._domainkey.captaindns.com - Utilisez des noms différents par fournisseur pour faciliter les rotations
TTL recommandé
- 300-600 secondes pendant le déploiement (propagation rapide)
- 3600-86400 secondes une fois stable (moins de requêtes DNS)
- TTL court facilite les révocations d'urgence
Rotation régulière
- Planifiez une rotation annuelle minimum
- Documentez le responsable et la date de dernière rotation
- Conservez l'ancien sélecteur quelques jours après rotation
FAQ - Questions fréquentes
Q : Quelle est la différence entre ce vérificateur et l'inspecteur DKIM ?
R : Le vérificateur de syntaxe analyse une valeur que vous collez pour détecter les erreurs de format avant publication. L'inspecteur d'enregistrement effectue une requête DNS réelle pour vérifier un enregistrement déjà publié. Utilisez la syntaxe d'abord, l'inspecteur ensuite.
Q : Pourquoi ma clé est-elle marquée comme "trop courte" ?
R : Les clés RSA inférieures à 2048 bits sont considérées comme faibles. Gmail et d'autres fournisseurs peuvent rejeter les signatures avec des clés 1024 bits. Générez une nouvelle paire de clés avec 2048 bits minimum.
Q : Dois-je inclure les guillemets dans la valeur ?
R : Non. Les guillemets sont parfois ajoutés par les interfaces de gestion DNS pour délimiter les chaînes longues, mais ils ne font pas partie de la valeur DKIM elle-même. Supprimez-les avant de valider.
Q : Mon ESP dit que DKIM est configuré, mais la syntaxe échoue ici. Pourquoi ?
R : Les ESP valident souvent leur configuration interne, pas nécessairement ce que vous avez copié. Vérifiez que vous avez copié la valeur complète sans troncature, et sans les guillemets d'encapsulation.
Q : Ed25519 est-il supporté ?
R : Oui, le vérificateur reconnaît les clés Ed25519 (k=ed25519). Cependant, le support côté destinataire reste limité. RSA 2048 bits reste le choix le plus compatible.
Q : Comment savoir quel sélecteur utiliser ?
R : Le sélecteur est choisi lors de la configuration DKIM sur votre serveur ou ESP. Consultez la documentation de votre fournisseur. Les sélecteurs courants incluent : google, selector1, selector2, s1, default, mail.
Outils complémentaires
| Outil | Utilité |
|---|---|
| Inspecteur DKIM | Vérifier un enregistrement DKIM déjà publié dans le DNS |
| Inspecteur SPF | Valider votre enregistrement SPF |
| Inspecteur DMARC | Configurer et tester votre politique DMARC |
| Analyseur d'en-têtes email | Diagnostiquer les échecs d'authentification sur un email reçu |
Ressources utiles
- RFC 6376 - DKIM Signatures (spécification officielle DKIM)
- Google - Configurer DKIM (guide Google Workspace)
- Microsoft - DKIM dans Exchange Online (guide Microsoft 365)