Le protocole DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque e-mail sortant et publie la clé publique correspondante dans le DNS, afin qu’un serveur destinataire puisse vérifier que le message provient bien du domaine qu’il prétend représenter et qu’il n’a pas été altéré pendant son acheminement.
Fonctionnement
Le serveur expéditeur signe certains en-têtes et le corps de chaque message à l’aide d’une clé privée, puis ajoute le résultat sous la forme d’un en-tête « DKIM-Signature ». Cet en-tête désigne un sélecteur et un domaine. Le destinataire récupère la clé publique dans le DNS à l’adresse selector._domainkey.domain, puis vérifie la signature. La norme applicable est la RFC 6376.
Comme la signature couvre le contenu, un message altéré en cours de transmission échoue. La clé résidant dans le DNS de l’expéditeur, seule une personne contrôlant le DNS de ce domaine peut publier une clé valide.
Ce que DKIM ne fait pas
DKIM prouve qu’un message a été signé par un domaine — et non que ce domaine correspond à l’adresse « De » que voit le destinataire. Un escroc peut signer un e-mail avec son propre domaine en toute légitimité. C’est à DMARC qu’il revient d’établir le lien entre le domaine signataire et l’adresse « De » visible.
Il ne s’agit pas non plus d’un système de chiffrement. Le message est lisible par toute personne qui le traite ; DKIM permet uniquement de détecter toute altération.
Comment vérifier un message
Ouvrez les en-têtes complets d’un e-mail que vous avez reçu et recherchez la ligne « Authentication-Results ». Vous devez rechercher la mention « dkim=pass » ainsi que le domaine pour lequel la validation a été effectuée.
DKIM chez Mailotte
Les e-mails envoyés depuis Mailotte sont signés DKIM. Lorsque vous connectez votre propre domaine, Mailotte génère une clé de signature pour celui-ci et vous fournit un enregistrement TXT à publier à l’adresse selector._domainkey.yourdomain, afin que les e-mails provenant de votre domaine soient signés au nom de votre domaine plutôt qu’au nom de mailotte.com.
Questions
Le protocole DKIM crypte-t-il mes e-mails ?
Non. Il les signe, ce qui permet de détecter toute altération. Toute personne qui traite le message peut toujours le lire.
Qu’est-ce qu’un sélecteur DKIM ?
Il s'agit d'un identifiant qui indique quelle clé rechercher, ce qui permet à un domaine de disposer de plusieurs clés à la fois — par exemple, une par fournisseur de messagerie, ou une ancienne et une nouvelle clé lors d'une rotation. La clé publique se trouve à l'adresse selector._domainkey.votredomaine.
Pourquoi le DKIM est-il validé alors que mon e-mail finit toujours dans le dossier spam ?
Parce que DKIM prouve uniquement l’identité de la personne qui a signé le message. Les destinataires prennent également en compte la conformité DMARC, la réputation du serveur d’envoi et le contenu.
Termes associés
- SPF — Sender Policy Framework
- DMARC — Authentification, rapport et conformité des messages basés sur le domaine
- MTA-STS — Sécurité de transport stricte pour les MTA SMTP
- Tous les termes