DKIM avec des enregistrements CNAME : les sélecteurs délégués (Microsoft 365, SendGrid…)

Ce que ça veut dire

Une clé DKIM est normalement un long enregistrement TXT publié sous un nom comme selector._domainkey.yourdomain.com. Beaucoup de fournisseurs, comme Microsoft 365, SendGrid, Mailchimp ou Amazon SES, vous demandent plutôt d'ajouter un enregistrement CNAME sous ce nom.

Un CNAME est un renvoi. Il dit « la réponse est là-bas, sur le domaine du fournisseur ». Le fournisseur publie alors la vraie clé de son côté. On appelle cela un sélecteur délégué. Son gros avantage : le fournisseur peut changer la clé (la faire tourner) sans que vous touchiez à votre DNS.

Exemples typiques :

selector1._domainkey.yourdomain.com  CNAME  (value shown in Microsoft 365)
selector2._domainkey.yourdomain.com  CNAME  (value shown in Microsoft 365)
s1._domainkey.yourdomain.com         CNAME  s1.domainkey.u1234.wl.sendgrid.net

Pourquoi c'est important

• Si le CNAME est faux, les destinataires ne trouvent aucune clé et le DKIM échoue, même si le fournisseur signe correctement.
• Microsoft 365 et d'autres outils refusent d'activer la signature DKIM tant qu'ils ne voient pas vos CNAME.
• Sans signature DKIM alignée, le DMARC ne dépend plus que du SPF, qui casse lors des transferts.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil (/), copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte ou l'outil que vous voulez vérifier, puis ouvrez le rapport.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements SPF, DMARC et MX sans rien envoyer.

Dans le rapport, la ligne DKIM indique quel domaine a signé (d=) et si la clé a été trouvée.

Comment corriger

1. Copiez les valeurs exactes de votre fournisseur. Ne les devinez pas : les valeurs de Microsoft 365 contiennent votre domaine et le nom de votre tenant, celles de SendGrid votre numéro de compte.
2. Créez des enregistrements CNAME, pas TXT. Si un enregistrement TXT existe déjà sous le même nom, supprimez-le : un nom ne peut pas porter un CNAME et un autre enregistrement en même temps.
3. Vérifiez le champ nom. Beaucoup d'interfaces DNS ajoutent votre domaine automatiquement. Saisissez selector1._domainkey, pas le nom complet, sinon vous obtenez selector1._domainkey.yourdomain.com.yourdomain.com.
4. Désactivez le proxy. Sur Cloudflare, mettez les CNAME DKIM en « DNS only » (nuage gris). Un enregistrement proxifié ne renvoie pas la clé.
5. Ajoutez tous les enregistrements demandés. Microsoft 365 utilise deux sélecteurs et passe de l'un à l'autre quand il fait tourner les clés. Si vous n'en ajoutez qu'un, le DKIM casse à la rotation suivante.
6. Activez la signature chez le fournisseur. Dans Microsoft 365, le DKIM doit être activé pour votre domaine dans le portail Defender une fois les CNAME visibles. Les autres outils ont un bouton « Vérifier ».

Testez le CNAME vous-même

Sur un ordinateur, lancez :

nslookup -type=TXT selector1._domainkey.yourdomain.com

Vous devez voir le CNAME suivi de la clé (v=DKIM1; k=rsa; p=...). Aucune réponse signifie que le CNAME manque ou est mal orthographié.

Vérifiez que c'est corrigé

Les changements DNS peuvent prendre de quelques minutes à 48 heures. Une fois que le fournisseur a confirmé les enregistrements, envoyez un nouvel email à une nouvelle adresse de test Delivmail. Le rapport doit montrer le DKIM qui passe avec d=yourdomain.com, et le DMARC qui passe.

Aide officielle : guide DKIM de Microsoft 365.