Activer une clé DKIM

Vous activez DKIM en trois mouvements : faire créer une clé dans le tableau de bord de 2Mail, placer dans le DNS de votre domaine l'enregistrement qui vous y est présenté, puis, une fois le contrôle réussi, activer la signature. Le nom de cet enregistrement se compose d'un sélecteur, de la partie _domainkey et de votre domaine. L'erreur la plus fréquente : le panneau DNS ajoute lui-même votre domaine une seconde fois à la fin, et plus personne ne trouve l'enregistrement.

Ce que fait DKIM et ce qu'est un sélecteur

DKIM appose une signature numérique sur chaque message qui part via 2Mail. Le serveur destinataire vérifie cette signature à l'aide d'une clé publique dans le DNS de votre domaine. La moitié privée de la clé reste sur nos serveurs ; vous n'avez jamais à la saisir nulle part.

Le sélecteur est l'étiquette qui indique quelle clé a été utilisée. Il figure dans la signature de chaque message, et le destinataire cherche la clé sous le sélecteur, suivi de ._domainkey et de votre domaine. Grâce aux sélecteurs, un domaine peut avoir plusieurs clés en même temps : une par service qui envoie en votre nom, et temporairement deux lorsque vous remplacez une clé. Contrairement à SPF, vous ne fusionnez donc rien. La clé de votre messagerie de bureau ou de votre outil de newsletter reste en place, celle de 2Mail vient s'y ajouter.

Toujours un enregistrement TXT

L'enregistrement DKIM de 2Mail est toujours un enregistrement TXT. Il contient la clé publique elle-même : une longue valeur qui commence par v=DKIM1. Le tableau de bord de 2Mail affiche le nom et la valeur, prêts à être copiés. Chez d'autres services d'envoi, vous rencontrerez parfois un enregistrement CNAME : il ne contient pas de clé, mais renvoie vers un enregistrement géré par ce service. Pour 2Mail, vous ne créez pas de CNAME. De plus, un même nom ne peut jamais porter à la fois un CNAME et un autre enregistrement.

Activer la clé en sept étapes

1. Ouvrez votre domaine d'envoi dans le tableau de bord de 2Mail et faites créer une clé DKIM sous l'authentification. Vous voyez alors le nom de l'enregistrement (avec le sélecteur en préfixe), le type et la valeur.
2. Allez dans la gestion DNS du prestataire chez qui se trouvent les serveurs de noms de votre domaine. Ce n'est pas forcément celui chez qui vous avez acheté le domaine.
3. Créez un enregistrement de type TXT.
4. Comme nom, saisissez uniquement la partie avant votre domaine : le sélecteur, un point et _domainkey. Presque tous les panneaux complètent le domaine eux-mêmes.
5. Collez la valeur telle quelle, sans ajouter d'espaces ni de retours à la ligne.
6. Enregistrez, retournez dans le tableau de bord et faites vérifier l'enregistrement par 2Mail. Dès que cela réussit, activez la signature.
7. Envoyez un message de test à une adresse externe et regardez les en-têtes : dans les résultats d'authentification doit figurer dkim=pass, accompagné de votre propre domaine.

Pourquoi une longue clé doit parfois être découpée

Une chaîne de caractères dans un enregistrement TXT ne peut pas dépasser 255 caractères. Une clé de 2048 bits, la longueur courante aujourd'hui, est plus longue. Une telle valeur est donc stockée sous forme de plusieurs chaînes à l'intérieur du même enregistrement ; le destinataire les recolle bout à bout. La plupart des panneaux le font pour vous sans que vous le remarquiez. Si votre panneau refuse la valeur parce qu'elle est trop longue, coupez-la vous-même en deux morceaux, placez chaque morceau entre guillemets doubles et séparez-les par une seule espace, toujours dans un seul enregistrement. N'en faites jamais deux enregistrements distincts, et veillez à ne perdre aucun caractère à la coupe.

Où ajouter l'enregistrement, par gestionnaire DNS

Le piège est partout le même : le panneau colle automatiquement votre domaine derrière le nom. Si vous saisissez le nom complet, domaine compris, l'enregistrement se retrouve un niveau trop bas. Saisissez donc uniquement la partie avant votre domaine, sauf si le panneau demande expressément le nom complet.

• Cloudflare — choisissez votre domaine, ouvrez DNS puis les enregistrements, et ajoutez un enregistrement dont le nom est la partie avant votre domaine. L'interrupteur du proxy (le nuage orange) n'existe pas pour les enregistrements TXT ; vous n'avez rien à y faire.
• Combell — dans le panneau de contrôle, sous votre nom de domaine, dans la gestion DNS. Les enregistrements TXT y ont leur propre rubrique.
• one.com — dans les paramètres DNS, sous les enregistrements DNS. Le panneau affiche déjà votre domaine derrière le champ du nom : ne saisissez que la partie avant.
• TransIP — dans la partie DNS de votre domaine, ajoutez une ligne dont le nom est la partie avant votre domaine. N'oubliez pas d'enregistrer en bas de page.
• OVHcloud — dans l'onglet de la zone DNS, ajoutez une entrée de type TXT ; le champ du sous-domaine reçoit la partie avant du nom.
• GoDaddy — dans la gestion DNS du domaine, ajoutez un nouvel enregistrement ; le champ du nom ne reçoit que la partie avant votre domaine.
• Microsoft 365 — si le DNS de votre domaine est hébergé chez Microsoft, ajoutez dans le centre d'administration, sous votre domaine, un enregistrement DNS personnalisé. Si vous y voyez déjà les enregistrements selector1 et selector2 sous _domainkey, n'y touchez pas : ce sont les clés de Microsoft pour le courrier qui part via Exchange Online. L'enregistrement de 2Mail a son propre sélecteur et vient s'y ajouter.

Contrôler

Le contrôle du tableau de bord fait référence. Si vous voulez voir vous-même ce que voit le monde extérieur, saisissez votre domaine et le sélecteur du tableau de bord dans l'outil gratuit de vérification SPF, DKIM et DMARC. Un nouvel enregistrement est généralement visible dans l'heure ; un enregistrement modifié suit la TTL précédente.

Si le contrôle continue d'échouer

1. Regardez comment le nom figure réellement dans le panneau. S'il se termine par deux fois votre domaine, c'est que vous avez saisi le domaine vous-même. Corrigez le nom pour ne garder que la partie avant.
2. Vérifiez le panneau. Si les serveurs de noms pointent vers un autre prestataire, l'enregistrement se trouve à un endroit que personne ne consulte.
3. Vérifiez le type. Il doit s'agir d'un enregistrement TXT, pas d'un CNAME.
4. Examinez la valeur. Pas d'espaces, pas de retours à la ligne, pas de valeur tronquée à mi-chemin, pas de valeur répartie sur deux enregistrements, et pas de guillemets typographiques venus d'un e-mail ou d'un document Word.
5. Si le panneau refuse le tiret bas de _domainkey, seul votre gestionnaire DNS peut y remédier. Le tiret bas fait partie du nom et ne peut pas être retiré.
6. Attendez la fin de la TTL avant de tester à nouveau, et testez depuis le tableau de bord ou l'outil de vérification, pas depuis votre propre appareil.

Si le contrôle réussit mais qu'un destinataire signale malgré tout dkim=fail, c'est qu'une application intermédiaire modifie le message après la signature, par exemple un outil de signatures ou un disclaimer ajouté après coup.

Plusieurs domaines

DKIM se fait par domaine d'envoi. Si vous envoyez depuis plusieurs domaines, répétez ces étapes pour chacun. Un sous-domaine, par exemple un domaine dédié aux newsletters, a son propre enregistrement.

Remplacer la clé plus tard

Si vous voulez faire tourner la clé, par exemple après un changement de personnel ou parce qu'une politique de sécurité l'exige, créez dans le tableau de bord une nouvelle clé avec un autre sélecteur. Placez le nouvel enregistrement dans votre DNS et activez la nouvelle clé dès que le contrôle réussit. Révoquez ensuite l'ancienne clé dans le tableau de bord, et ne supprimez l'ancien enregistrement que quelques jours plus tard. Les messages encore en transit restent ainsi valides.

Si votre enregistrement SPF n'est pas encore en ordre, commencez par ajouter un enregistrement SPF chez votre gestionnaire DNS. Activez ensuite DMARC : vous rédigez l'enregistrement avec le générateur d'enregistrement DMARC. Le contexte des trois enregistrements se trouve sur SPF, DKIM et DMARC.

Questions fréquentes

Dois-je saisir la clé privée quelque part ?

Non. La moitié privée reste sur les serveurs de 2Mail. Seule la partie publique va dans votre DNS, et tout le monde peut la voir.

La clé de 2Mail peut-elle cohabiter avec celle de Microsoft 365 ou de Google Workspace ?

Oui. Chaque service signe avec son propre sélecteur, et chaque sélecteur a son propre enregistrement. Ils ne se gênent pas ; vous n'avez rien à fusionner ni à supprimer.

DKIM suffit-il sans SPF ?

Pour DMARC, il suffit que l'un des deux réussisse avec votre propre domaine, mais ne comptez pas là-dessus. SPF échoue sur le courrier transféré et DKIM échoue lorsqu'un message est modifié en cours de route. Avec les deux en ordre, l'un rattrape l'autre.

À quelle fréquence dois-je remplacer la clé ?

Il n'existe pas de règle fixe. Remplacez la clé lorsque votre propre politique de sécurité l'exige, ou lorsque vous avez une raison de douter de la clé actuelle. En travaillant avec un nouveau sélecteur, le changement se fait sans interruption.

Ça ne marche pas ?

Transmettez-nous via contact votre nom de domaine et une capture d'écran de l'enregistrement dans votre panneau DNS. Nous vérifions ce qui diverge.