Guide DKIM : signer vos e-mails

À quoi sert DKIM

DKIM (DomainKeys Identified Mail, RFC 6376) signe chaque e-mail sortant avec une clé privée, gardée par votre service d'envoi. La clé publique correspondante est publiée dans votre DNS. Le serveur qui reçoit l'e-mail la lit et vérifie la signature : elle prouve que l'e-mail vient bien d'un serveur autorisé par le domaine et qu'il n'a pas été modifié en route.

Contrairement à SPF, la signature DKIM résiste au transfert d'un e-mail par un serveur intermédiaire. C'est souvent elle qui permet à vos e-mails de passer DMARC.

Activer DKIM dans Microsoft 365

Microsoft 365 garde les clés et les fait tourner lui-même : dans votre DNS, vous publiez seulement deux alias (CNAME), selector1 et selector2, qui pointent vers Microsoft.

1. Dans le portail Microsoft Defender, ouvrez Courrier et collaboration, Stratégies et règles, Stratégies de protection, puis Paramètres d'authentification du courrier, onglet DKIM. Accès direct : security.microsoft.com/authentication.
2. Ouvrez la ligne de votre domaine. Si aucune clé n'existe encore, créez-les. La section Publier les CNAME du volet affiche les deux valeurs à publier.
3. Chez votre hébergeur DNS, créez les deux CNAME en recopiant exactement ces valeurs :

   selector1._domainkey.exemple.nc.  CNAME  selector1-exemple-nc._domainkey.<votre-tenant>.<x>-v1.dkim.mail.microsoft.
   selector2._domainkey.exemple.nc.  CNAME  selector2-exemple-nc._domainkey.<votre-tenant>.<x>-v1.dkim.mail.microsoft.

   Les domaines configurés avant mai 2025 utilisent l'ancienne forme selector1-exemple-nc._domainkey.<votre-tenant>.onmicrosoft.com. Ne reconstruisez jamais ces valeurs à la main : copiez celles du portail.
4. Quelques minutes après, une fois les CNAME détectés, revenez dans le volet du domaine et activez « Signer les messages pour ce domaine avec des signatures DKIM ».

En PowerShell Exchange Online, les mêmes étapes s'écrivent :

# 1. Créer les clés, si le domaine n'en a pas encore
New-DkimSigningConfig -DomainName exemple.nc -Enabled $false -KeySize 2048
# 2. Lire les deux valeurs CNAME à publier
Get-DkimSigningConfig -Identity exemple.nc | Format-List Selector1CNAME, Selector2CNAME
# 3. Activer la signature, une fois les CNAME publiés
Set-DkimSigningConfig -Identity exemple.nc -Enabled $true

Sans le paramètre -KeySize 2048, Microsoft crée une clé de 1024 bits. Pour passer une clé existante à 2048 bits : Rotate-DkimSigningConfig -Identity exemple.nc -KeySize 2048. La nouvelle clé signe au bout de quatre jours.

Documentation Microsoft : configurer DKIM pour Microsoft 365 (nouvel onglet).

Activer DKIM chez un autre fournisseur

1. Dans l'interface de votre service d'envoi (hébergeur de messagerie, plateforme de lettres d'information, CRM), cherchez la rubrique « authentification du domaine » ou « DKIM ».
2. Générez une clé de 2048 bits. Le service indique le nom à créer (<sélecteur>._domainkey) et la valeur : un TXT contenant la clé, ou un CNAME vers ses propres serveurs.
3. Publiez l'enregistrement chez votre hébergeur DNS, puis activez la signature dans le service.
4. Répétez l'opération pour chaque service qui envoie avec votre domaine : chacun signe avec sa propre clé, sous son propre sélecteur.

Longueur de clé

Une clé RSA de 2048 bits est aujourd'hui la norme. Une clé de 1024 bits est jugée trop courte, et en dessous elle peut être cassée. Ed25519 est une alternative moderne et forte, mais tous les destinataires ne la vérifient pas encore : elle s'utilise en plus d'une clé RSA. Dans Domain Check, une clé de 2048 bits ou Ed25519 vaut 100, une clé de 1024 à 2047 bits 70, une clé plus courte 20.

Rotation des clés

Changer de clé régulièrement limite les dégâts d'une clé compromise. La méthode sûre : publier la nouvelle clé sous un nouveau sélecteur, basculer la signature dessus, attendre quelques jours que les e-mails en transit soient livrés, puis vider l'ancienne (p=) avant de la supprimer. Microsoft 365 alterne de lui-même entre selector1 et selector2.