Vérificateur de syntaxe DKIM

Comprendre la syntaxe d'un enregistrement DKIM

DomainKeys Identified Mail (DKIM) ajoute une signature numérique aux messages sortants afin que le destinataire confirme qu'ils proviennent bien de votre infrastructure. La clé publique servant à la vérification se trouve dans un enregistrement TXT. Cette page détaille les balises lues par le validateur et la façon dont l'outil interprète les réponses de l'API.

Que contient un enregistrement TXT DKIM ?

Un enregistrement DKIM est une liste de balises séparées par des points-virgules. Chaque balise comporte un nom court, un signe égal et une valeur. Le validateur supprime les espaces superflus, accepte n'importe quel ordre et tolère les retours à la ligne tant que la syntaxe reste cohérente.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

Balises obligatoires à publier

• v - l'indicateur de version. DKIM1 est aujourd'hui la seule valeur prise en charge.
• k - le type de clé. Les clés RSA (rsa) demeurent la norme. Ed25519 (ed25519) émerge, mais reste rare.
• p - la clé publique encodée en base64. Supprimez guillemets et espaces avant la publication.

Si l'une de ces balises manque, est vide ou mal formée, la signature ne peut pas être validée. L'outil signale précisément l'erreur afin de régénérer la clé ou corriger l'entrée DNS.

Balises optionnelles pour ajuster le comportement

• h limite les algorithmes de hachage acceptés lors de la vérification (sha256 recommandé, sha1 obsolète).
• t active des indicateurs comme y (mode test) ou s (alignement strict sur le sélecteur).
• s précise la liste des services couverts par la clé. Vide, elle se limite au courrier.
• g restreint la clé à un utilisateur ou à une sous-adresse si besoin.
• n permet d'ajouter une note d'exploitation ou de diagnostic.

Vous pouvez omettre ces balises si vous acceptez les valeurs par défaut. Le vérificateur les affiche tout de même dans le bloc "Détails de l'enregistrement" si elles sont présentes pour contrôler ce que renverra le DNS.

Pièges de syntaxe détectés par l'outil

1. Valeurs copiées avec guillemets. Retirez les guillemets et les retours chariot avant de valider.
2. Guillemets typographiques ou points-virgules multiples. Le parseur attend des guillemets ASCII et un seul séparateur ; entre chaque balise.
3. Balises vides ou remplies d'espaces. Elles sont considérées comme vides et déclenchent avertissements ou erreurs selon le champ.
4. Mélange de versions ou de types de clé. Conservez v=DKIM1 et un seul type de clé par enregistrement.
5. Clés publiques tronquées. Vérifiez que le bloc base64 n'a pas été coupé lors du copier-coller ou par les limites de longueur.

Chaque diagnostic renvoyé par l'API alimente le badge affiché en tête des résultats. Les erreurs rendent l'enregistrement inutilisable, les avertissements signalent des configurations risquées mais techniquement valides.

Bonnes pratiques avant la mise en production

• Générez la paire de clés sur un serveur de confiance ou via votre fournisseur de messagerie et stockez la clé privée en lieu sûr.
• Choisissez un sélecteur court et unique pour faciliter les rotations (selector2024._domainkey.example.com).
• Adaptez le TTL à votre politique de rotation. Un TTL court simplifie les révocations d'urgence ; un TTL long réduit le trafic DNS une fois la clé stabilisée.
• Documentez le responsable du sélecteur et la date de la dernière rotation.

En testant la valeur finale avec le vérificateur de syntaxe, vous vous assurez que l'enregistrement TXT sera interprété correctement une fois publié. Complétez cette vérification par une requête DNS pour observer la propagation et par l'analyse DMARC pour suivre la qualité des signatures dans le temps.