La signature DKIM échoue (signature ou empreinte du corps invalide)

Ce que ça veut dire

Votre email porte une signature DKIM, mais quand le destinataire la vérifie, elle ne correspond pas. Il existe deux grands types d'échec :

• Signature invalide ou clé introuvable : la clé publique dans votre DNS est absente, fausse, ou ne correspond pas à la clé privée utilisée pour signer.
• Empreinte du corps non vérifiée (body hash) : la clé est bonne, mais le contenu de l'email a été modifié après la signature. Une seule ligne ajoutée suffit à casser la signature.

Pourquoi c'est important

Une signature en échec compte comme une absence de signature, et parfois pire : l'email peut sembler avoir été trafiqué. Si le SPF ne passe pas non plus pour votre domaine, le DMARC échoue et l'email peut aller en spam ou être refusé.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil, copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte que vous voulez vérifier, puis ouvrez le rapport. La ligne DKIM affiche le domaine signataire et le résultat, par exemple « d=yourdomain.com: fail ».
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements DNS sans rien envoyer.

Notez le sélecteur utilisé (par exemple google, selector1, s1). Saisissez-le dans le scanner de domaine pour voir la clé publiée sous ce nom.

Comment corriger un problème de clé

1. Vérifiez que la clé existe sur selector._domainkey.yourdomain.com. Si le scanner ne trouve rien, l'enregistrement est absent ou mal nommé.
2. Vérifiez le nom. Beaucoup de fournisseurs DNS ajoutent automatiquement votre domaine. Saisissez selector._domainkey, pas le nom complet, sinon vous obtenez selector._domainkey.yourdomain.com.yourdomain.com.
3. Vérifiez que la valeur est complète. Les clés longues se coupent facilement, ou sont abîmées par des espaces ou des guillemets en trop. Recopiez la valeur depuis votre fournisseur, en une seule fois.
4. Vérifiez que c'est la clé actuelle. Si vous avez régénéré le DKIM chez votre fournisseur, l'ancienne valeur DNS ne fonctionne plus. Publiez la nouvelle.

Un enregistrement TXT DKIM correct ressemble à ceci :

s1._domainkey.yourdomain.com  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

Avec Microsoft 365, les enregistrements sont des CNAME qui pointent vers Microsoft. Copiez-les exactement comme ils apparaissent dans le portail Defender et ne les remplacez pas par des enregistrements TXT.

Comment corriger un problème d'empreinte du corps

Quelque chose a modifié votre email entre le moment où il a été signé et celui où il est arrivé. Causes fréquentes :

• Un antivirus ou une passerelle de sécurité qui ajoute un pied de page comme « Analysé par l'antivirus ».
• Un serveur ou un relais qui ajoute une mention légale après la signature.
• Une liste de diffusion ou un groupe qui ajoute un lien de désinscription en bas ou modifie l'objet.
• Votre propre serveur de messagerie qui signe d'abord, puis relaie par un autre service qui modifie le contenu.

La solution est de faire en sorte que la signature ait lieu en dernier, après toutes les modifications. Placez la mention légale ou le pied de page avant la signature, ou désactivez-le, ou laissez le service d'envoi final s'occuper de la signature.

Vérifiez que c'est corrigé

Les modifications DNS ne sont pas instantanées. La plupart sont visibles en quelques minutes, mais certains fournisseurs mettent jusqu'à 24 à 48 heures.

Envoyez un nouvel email de test depuis la page d'accueil, depuis la boîte ou l'outil qui avait échoué. Le rapport doit indiquer que le DKIM passe pour votre domaine. Si un seul outil d'envoi échoue, le problème vient de la configuration de cet outil.