Aucune signature DKIM sur vos emails

Ce que ça veut dire

Le DKIM (DomainKeys Identified Mail) ajoute une signature numérique invisible à chaque email que vous envoyez. Les destinataires la vérifient avec une clé publique publiée dans votre DNS. Si elle correspond, ils savent que l'email vient vraiment de votre domaine et n'a pas été modifié en chemin.

Votre email de test est arrivé sans aucune signature DKIM.

Pourquoi c'est important

• Gmail et Yahoo exigent le DKIM pour les envois en masse, et le préfèrent nettement pour tout le monde.
• Le DKIM résiste au transfert, contrairement au SPF. C'est souvent lui qui fait passer le DMARC.
• Sans lui, vos emails inspirent moins confiance et risquent davantage d'aller en spam.

Comment vérifier

Delivmail le vérifie pour vous de deux façons :

• Envoyez un email de test : sur la page d'accueil, copiez votre adresse de test unique, envoyez-lui un email normal depuis la boîte que vous voulez vérifier, puis ouvrez le rapport. La ligne DKIM indique « non signé » quand aucune signature n'est trouvée.
• Utilisez le scanner de domaine : saisissez votre domaine sur /domain-scanner pour lire vos enregistrements DNS sans rien envoyer.

Le scanner de domaine cherche les clés DKIM sous les noms habituels (appelés « sélecteurs »), comme google, selector1 ou default. Une clé peut être publiée alors que la signature est encore désactivée : c'est donc l'email de test qui fait foi.

Comment corriger

Le DKIM se met toujours en place en deux temps : activer la signature dans le service qui envoie vos emails, et publier la clé publique dans votre DNS.

Google Workspace

1. Dans la console d'administration, allez dans Applications, Google Workspace, Gmail, Authentifier les e-mails.
2. Générez un nouvel enregistrement (choisissez 2048 bits si votre fournisseur DNS accepte les valeurs longues).
3. Ajoutez l'enregistrement TXT affiché, avec le nom google._domainkey.
4. Attendez qu'il soit visible, puis cliquez sur Démarrer l'authentification.

google._domainkey.yourdomain.com  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh...(long key)..."

Microsoft 365

1. Dans le portail Microsoft Defender, ouvrez les paramètres d'authentification des emails, puis DKIM.
2. Sélectionnez votre domaine. Microsoft affiche deux enregistrements CNAME, selector1._domainkey et selector2._domainkey.
3. Ajoutez les deux enregistrements CNAME chez votre fournisseur DNS, exactement comme ils sont affichés.
4. Revenez et activez l'option de signature des messages de ce domaine avec des signatures DKIM.

selector1._domainkey.yourdomain.com  CNAME  (value shown by Microsoft)
selector2._domainkey.yourdomain.com  CNAME  (value shown by Microsoft)

Hébergeurs web, outils de newsletter et autres services

Cherchez un réglage appelé « DKIM », « authentification de domaine » ou « authentifier votre domaine ». Le service vous donne un ou plusieurs enregistrements (TXT ou CNAME) à copier dans votre DNS. Chaque service qui envoie des emails en votre nom a besoin de sa propre configuration DKIM.

Erreurs fréquentes

• Certains fournisseurs DNS ajoutent automatiquement votre domaine. Si vous saisissez google._domainkey.yourdomain.com comme nom, il peut devenir google._domainkey.yourdomain.com.yourdomain.com. Saisissez seulement google._domainkey.
• Les clés longues peuvent être coupées ou abîmées par des espaces en trop lors du copier-coller. Collez la valeur en une seule fois.
• Publier la clé ne suffit pas : la signature doit aussi être activée.

Vérifiez que c'est corrigé

Les modifications DNS ne sont pas instantanées. La plupart sont visibles en quelques minutes, mais certains fournisseurs mettent jusqu'à 24 à 48 heures.

Lancez le scanner de domaine pour voir la clé, puis envoyez un nouvel email de test depuis la page d'accueil. Le rapport doit afficher une signature DKIM valide de votre propre domaine.

Aide des fournisseurs : DKIM pour Google Workspace et DKIM pour Microsoft 365.