DKIM : la signature des e-mails expliquée simplement

Comment ça marche

Le serveur d’envoi signe une partie des en-têtes et le corps du message, puis ajoute le résultat dans un en-tête DKIM-Signature. La signature indique le domaine signataire (d=) et un sélecteur (s=).

Le destinataire récupère la clé publique à l’adresse selecteur._domainkey.domaine et vérifie la signature. Si le contenu signé a été modifié en route, la vérification échoue.

L’en-tête From doit toujours être signé. Mais DKIM n’exige pas en soi que le domaine signataire corresponde au domaine From. Vérifier cette correspondance, c’est le rôle de DMARC.

Pourquoi c’est important pour une newsletter

Google exige SPF ou DKIM de tout expéditeur, et les deux de ceux qui envoient plus de 5 000 messages par jour à des comptes Gmail. Les e-mails envoyés à des comptes Gmail personnels nécessitent une clé DKIM d’au moins 1024 bits.

Le désabonnement en un clic (RFC 8058) dépend aussi de DKIM : la signature doit couvrir les en-têtes de désabonnement.

Comment le vérifier

• Ouvrez un message que vous avez envoyé et affichez la source d’origine. Cherchez dkim=pass dans Authentication-Results.
• Vérifiez que d= dans DKIM-Signature est votre domaine, ou un domaine de la même organisation que votre adresse From.
• Utilisez un vérificateur de domaine pour confirmer que la clé publique du sélecteur est publiée dans le DNS.

Lexique de la newsletter et de l’e-mailing

• SPF : définition simple du Sender Policy Framework
• DMARC : la protection contre l’usurpation expliquée simplement
• Double opt-in : définition et fonctionnement de l’inscription confirmée
• Preheader : le texte d’aperçu à côté de l’objet
• Hard bounce : l’e-mail non distribuable expliqué
• Désabonnement en un clic : la RFC 8058 expliquée simplement
• CAN-SPAM : la loi américaine sur l’e-mail expliquée simplement