Rotation des clés DKIM
Le remplacement d'une clé de signature DKIM par une nouvelle sous un nouveau sélecteur, en gardant les deux publiées jusqu'à la vérification des e-mails signés avec l'ancienne.
Ce que cela signifie
La rotation limite les dégâts d'une clé privée volée ou cassée, et c'est ainsi qu'un domaine passe à une clé plus longue. La RFC 6376 décrit la méthode : publier la nouvelle clé publique sous un nouveau sélecteur, faire signer les e-mails sortants avec elle, garder l'ancienne clé publiée tant que des messages signés avec elle peuvent encore être en transit ou en file d'attente, puis la retirer. Supprimer l'enregistrement ou le publier avec un p= vide révoque la clé.
Les plateformes hébergées automatisent souvent cette étape. Microsoft 365 utilise deux sélecteurs CNAME par domaine et alterne entre eux à la demande d'un administrateur ; les fournisseurs qui vous demandent de pointer leurs sélecteurs en CNAME peuvent faire la rotation sans aucun changement DNS de votre côté.
Ne supprimez jamais la seule clé publiée avant que la signature n'ait basculé, sinon chaque message en route échoue au DKIM.
Termes associés
Sur ce site
Sources
Ce sur quoi repose cette définition. La formulation est la nôtre ; les faits sont les leurs.
Les 432 termes du glossaireLe wiki : blacklists et codes de bounce