DKIM
DomainKeys Identified Mail : une signature cryptographique ajoutée à un message par un domaine qui en prend la responsabilité, vérifiée avec une clé publique publiée dans le DNS de ce domaine.
Ce que cela signifie
Avec le DKIM, le système d'envoi calcule un hachage du corps du message et de certains en-têtes, signe le résultat avec une clé privée et ajoute un en-tête DKIM-Signature qui nomme le domaine signataire (d=) et un sélecteur (s=). Le destinataire récupère la clé publique en selector._domainkey.domain dans le DNS et vérifie la signature. Un pass prouve deux choses : le domaine signataire a pris la responsabilité du message, et les parties signées n'ont pas changé en route.
Contrairement au SPF, le DKIM survit au transfert tant que personne ne modifie le contenu signé : c'est pourquoi la RFC 9989 demande aux domaines en p=reject de signer en DKIM plutôt que de compter sur le SPF. Les listes de diffusion qui ajoutent un pied de page ou changent l'objet le cassent.
Le domaine signataire peut être n'importe quel domaine. Le DMARC ne compte un pass DKIM que si le domaine d= est aligné sur le domaine From. La norme est la RFC 6376 (2011), mise à jour par la RFC 8301 sur les algorithmes et les tailles de clé et la RFC 8463 sur Ed25519.
Exemple
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=mail2026; h=from:to:subject:date:message-id; bh=...; b=...Termes associés
Sur ce site
Sources
Ce sur quoi repose cette définition. La formulation est la nôtre ; les faits sont les leurs.
- RFC 6376: DomainKeys Identified Mail (DKIM) Signaturesrfc-editor.org
- RFC 8301: Cryptographic Algorithm and Key Usage Update to DKIMrfc-editor.org
- Google Workspace Admin Help: Set up DKIMknowledge.workspace.google.com
Les 432 termes du glossaireLe wiki : blacklists et codes de bounce