Générateur et vérificateur d'enregistrement DKIM
Créez une paire de clés DKIM dans votre navigateur et obtenez l'enregistrement DNS à publier. Vérifiez ensuite le sélecteur de votre choix, sur le domaine de votre choix. Gratuit, sans inscription, et la clé privée ne quitte jamais cette page.
Le générateur nécessite JavaScript.
Vérifier un enregistrement DKIM
Le sélecteur et le domaine figurent dans chaque email signé : DKIM-Signature: … s=selecteur; d=domaine.
Essayez : salesforce.com · 200608, microsoft.com · selector2
Qu'est-ce qu'un enregistrement DKIM ?
DKIM signe chaque email avec une clé privée installée sur le serveur d'envoi. La clé publique correspondante se trouve dans le DNS, dans un enregistrement TXT nommé selecteur._domainkey.votredomaine. Les serveurs destinataires peuvent ainsi vérifier que le message n'a pas été modifié et qu'il vient bien de votre domaine.
Grâce au sélecteur, un même domaine peut avoir plusieurs clés : une par outil d'envoi, et une nouvelle à chaque rotation.
Contenu de l'enregistrement
- v=DKIM1 : la version ; facultative, mais en premier si elle est présente
- k=rsa ou k=ed25519 : le type de clé
- p= : la clé publique ; si la valeur est vide, la clé est révoquée
- t=y : mode test, à retirer une fois que tout fonctionne
- La clé privée : jamais dans le DNS
RSA 2048, 1024 ou Ed25519 ?
Prenez RSA 2048, sauf si votre interface DNS n'accepte pas un enregistrement long.
| Clé | Robustesse | Longueur de l'enregistrement | Vérifiée par |
|---|---|---|---|
| RSA 2048 | Recommandée par Google ; le choix par défaut | Environ 400 caractères : à découper en deux chaînes de 255 caractères maximum | Tous les serveurs destinataires |
| RSA 1024 | Le minimum que les serveurs destinataires doivent accepter | Tient dans une seule chaîne | Tous les serveurs destinataires |
| Ed25519 | Courte et robuste | 44 caractères | Pas encore par tous les serveurs destinataires : signez aussi avec RSA |
Mettre en place DKIM sur votre propre serveur
Pour les serveurs que vous gérez vous-même, comme Postfix avec OpenDKIM.
- 1
Générer la paire
Choisissez le domaine, le sélecteur et le type de clé ci-dessus. Les clés se créent dans votre navigateur.
- 2
Publier la clé publique
Ajoutez l'enregistrement TXT. Si votre interface DNS limite une valeur à 255 caractères, utilisez la version découpée.
- 3
Installer la clé privée
Enregistrez le fichier PEM sur le serveur de messagerie en le rendant lisible par le seul service de signature, puis indiquez le sélecteur dans la configuration de ce service.
- 4
Vérifier et envoyer un test
Lancez le vérificateur, puis envoyez un message vers Gmail et cherchez DKIM: PASS sous « Afficher l'original ».
Sur une plateforme d'emailing, prenez la clé fournie
Une clé générée ici ne sert que si vous contrôlez le serveur qui signe. Les plateformes d'emailing signent avec des clés qu'elles créent elles-mêmes.
- Account Engagement (Pardot). Pardot affiche la DomainKey sous Gestion des domaines (Domain Management) ; son sélecteur est 200608.
- Marketing Cloud Next. Salesforce vous fournit trois CNAME DKIM (s1-e360-…) et gère les clés correspondantes.
- Google Workspace et Microsoft 365. Générez la clé dans la console d'administration (Google, sélecteur « google ») ou publiez les deux CNAME qu'affiche Microsoft (selector1, selector2).
D'autres outils gratuits
FAQ du générateur DKIM
Des réponses courtes aux questions que l'on se pose sur les clés et les enregistrements DKIM.
Comment créer un enregistrement DKIM ?
Générez une paire de clés, publiez la clé publique dans un enregistrement TXT nommé sélecteur._domainkey.votredomaine avec la valeur v=DKIM1; k=rsa; p=…, puis installez la clé privée sur le serveur qui signe vos emails.
Peut-on générer une clé DKIM en ligne sans risque ?
Ici, c'est votre navigateur qui crée la clé, avec ses propres fonctions cryptographiques (WebCrypto), et elle n'est envoyée nulle part. Pour les exigences de sécurité les plus strictes, générez-la directement sur le serveur de messagerie, par exemple avec opendkim-genkey.
Qu'est-ce qu'un sélecteur DKIM ?
Un nom que vous choisissez et qui indique aux serveurs destinataires quelle clé récupérer. Il apparaît sous la forme s= dans l'en-tête DKIM-Signature et devant ._domainkey dans le DNS.
Faut-il choisir une clé de 1024 ou de 2048 bits ?
2048. Les serveurs destinataires doivent accepter 1024 bits (RFC 8301), et Google recommande 2048. N'utilisez 1024 que si votre hébergeur DNS ne peut pas stocker l'enregistrement plus long.
Comment trouver le sélecteur DKIM d'un domaine ?
Ouvrez un email de ce domaine, affichez ses en-têtes et cherchez DKIM-Signature : la valeur s= est le sélecteur, d= le domaine. Le DNS ne contient aucune liste des sélecteurs d'un domaine.
À quelle fréquence faut-il faire la rotation des clés DKIM ?
Faites la rotation selon un calendrier que vous pouvez tenir, et immédiatement si une clé privée a pu être divulguée. Publiez la nouvelle clé sous un nouveau sélecteur, faites signer avec elle, puis supprimez l'ancienne une fois les emails en transit distribués.
Vos saisies sont-elles conservées ?
Non. Les clés sont créées dans votre navigateur et ne sont jamais envoyées. Pour le vérificateur, votre navigateur envoie le nom DNS à notre serveur, qui interroge un résolveur public ; rien n'est conservé ni journalisé.
Avec nous, Salesforce Marketing travaille pour vous
Parlez à un consultant certifié, pas à un commercial, et sortez du premier appel en sachant quelle est votre prochaine étape.