Clé DKIM trop courte (1024 bits) et comment la renouveler

Ce que ça veut dire

Le DKIM signe chaque email avec une clé privée conservée sur le serveur d'envoi. La clé publique correspondante est publiée dans votre DNS. Plus la clé est longue, plus il est difficile d'imiter votre signature. Les clés de 1024 bits ont été la norme pendant des années, mais 2048 bits est désormais la taille recommandée. Les clés de 512 ou 768 bits sont considérées comme cassées et beaucoup de serveurs de réception les ignorent.

« Renouveler » (ou faire une rotation de) une clé signifie la remplacer par une nouvelle : c'est une bonne pratique de temps en temps, et une urgence si la clé privée a pu fuiter.

Pourquoi c'est important

• Une clé faible peut, en théorie, être cassée, ce qui permettrait à quelqu'un de signer des emails au nom de votre domaine.
• Certains serveurs de réception et audits de sécurité signalent les clés de 1024 bits.
• Une clé utilisée depuis de nombreuses années, ou qui se trouvait sur un serveur que vous ne contrôlez plus, doit être remplacée.

Comment vérifier

Envoyez un email de test à votre adresse sur la page d'accueil (/). La section DKIM affiche le sélecteur utilisé (la valeur s=) et indique si la signature est valide. Vous pouvez aussi analyser votre domaine sur /domain-scanner. Une clé publique de 2048 bits dans le DNS est bien plus longue qu'une clé de 1024 bits : environ 400 caractères.

Comment corriger

La méthode sûre consiste à utiliser un nouveau sélecteur, pour que l'ancienne et la nouvelle clé coexistent pendant la bascule.

Avec un fournisseur de messagerie

• Google Workspace : dans les réglages DKIM de la console d'administration, générez un nouvel enregistrement en choisissant 2048 bits. Publiez-le, attendez la mise à jour du DNS, puis relancez l'authentification avec la nouvelle clé.
• Microsoft 365 : les nouveaux domaines utilisent des clés de 2048 bits. Microsoft peut renouveler les clés pour vous depuis les réglages DKIM du portail Defender, grâce à ses deux sélecteurs.
• Outils de newsletter : la plupart gèrent eux-mêmes la taille de clé. Consultez leur documentation si votre test montre une clé courte.

Avec votre propre serveur (OpenDKIM)

1. Créez une clé avec un nouveau sélecteur, par exemple nommé d'après la date :

   opendkim-genkey -b 2048 -d yourdomain.com -s 2025a

2. Publiez la clé publique contenue dans 2025a.txt dans un enregistrement TXT sur 2025a._domainkey.yourdomain.com. Certaines interfaces DNS demandent de découper les valeurs longues en plusieurs morceaux entre guillemets de 255 caractères maximum ; la plupart le font pour vous.
3. Attendez que le nouvel enregistrement soit visible partout, au moins quelques heures.
4. Basculez la signature sur la nouvelle clé et le nouveau sélecteur dans votre configuration OpenDKIM, puis redémarrez OpenDKIM.
5. Gardez l'ancien enregistrement environ une semaine, pour que les emails signés juste avant la bascule puissent encore être vérifiés.
6. Supprimez l'ancien enregistrement du DNS, ou remplacez-le par une clé vide (v=DKIM1; p=) pour indiquer qu'elle est révoquée.

Bonnes habitudes

• Renouvelez les clés tous les six à douze mois.
• Faites en sorte que les clés privées ne soient lisibles que par le service de signature.
• Renouvelez immédiatement si un serveur qui détenait la clé a été compromis.

Vérifiez que c'est corrigé

Envoyez un nouveau test depuis la page d'accueil. La section DKIM doit afficher le nouveau sélecteur et une signature valide. Lancez /domain-scanner pour confirmer que le nouvel enregistrement est publié, et vérifiez au bout d'une semaine que l'ancien a bien été supprimé.