Lire et vérifier un enregistrement DKIM : sélecteur, clé et étiquettes

Par Jarod Capella · Mis à jour le 14 novembre 2026 · 2 min de lecture

Un enregistrement DKIM est un texte publié dans le DNS de votre domaine. Il contient la clé publique qui permet aux destinataires de vérifier la signature de vos messages. Cette page décrit où il se trouve et ce que chaque étiquette signifie, d'après la RFC 6376 (sections 3.3.3, 3.6.1 et 3.6.2.1, lues le 4 novembre 2026).

Où se trouve l'enregistrement

Toutes les clés DKIM sont stockées sous un sous-domaine nommé _domainkey. Le nom complet se compose du sélecteur, de ._domainkey. puis du domaine. Exemple de la RFC : pour le domaine example.com et le sélecteur foo.bar, la requête DNS porte sur foo.bar._domainkey.example.com. Le sélecteur est choisi par l'expéditeur ou par son prestataire : vous le lisez dans l'en-tête DKIM-Signature d'un message reçu, étiquette s=. Sans lui, impossible de deviner l'enregistrement.

Les étiquettes de l'enregistrement

v=DKIM1 : version. Si elle est présente, elle doit valoir exactement DKIM1. Valeur par défaut : DKIM1.
k=rsa : type de clé. Les signataires et les vérificateurs doivent gérer rsa, qui est la valeur par défaut.
p= : la clé publique, encodée en base64. Une valeur vide signifie que la clé a été révoquée.
t=y : le domaine est en phase de test DKIM. Selon la RFC, un vérificateur ne doit pas traiter différemment un message signé en mode test dont la signature échoue et un message non signé. Retirez ce drapeau une fois la configuration validée.

Exemple (clé tronquée) :

selecteur1._domainkey.exemple.fr  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0B..."

Taille de clé

Le texte de la RFC 6376 §3.3.3 impose aux signataires des clés RSA d'au moins 1024 bits pour les clés de longue durée, et aux vérificateurs de savoir valider des clés de 512 à 2048 bits. Cette RFC a été mise à jour depuis par d'autres textes que je n'ai pas lus : regardez ce que propose votre fournisseur de messagerie, qui génère la clé pour vous dans la plupart des cas, et choisissez la taille la plus élevée qu'il propose.

Les erreurs fréquentes

Mauvais sélecteur : l'enregistrement existe sous un autre nom que celui de l'en-tête s=. Comparez les deux caractère par caractère.
Clé coupée : certains hébergeurs DNS imposent de découper la valeur en plusieurs morceaux entre guillemets. Vérifiez qu'aucun caractère ne manque ni qu'un espace ne s'est glissé dans p=.
p= vide : la clé est considérée comme révoquée, donc toutes les signatures échouent.
Enregistrement sur le mauvais domaine : la clé doit être sous le domaine indiqué par d= dans la signature, pas sous celui de l'adresse d'affichage si ce n'est pas le même.

Pour tester un domaine, utilisez le vérificateur de la page d'accueil. DKIM seul ne suffit pas à bloquer l'usurpation : voir durcir une politique DMARC et les erreurs courantes.