Qu'est-ce que DKIM ?
DKIM (DomainKeys Identified Mail) est une signature que le serveur d'envoi ajoute à chaque message avec une clé privée. La clé publique correspondante est publiée dans un enregistrement DNS TXT à selector._domainkey.yourdomain, et les destinataires s'en servent pour confirmer que les en-têtes signés et le corps n'ont pas été modifiés en route. La RFC 6376 le définit.
Lire le résultat
Le DNS ne permet pas de lister les sélecteurs d'un domaine : cet outil teste donc les 21 avec lesquels signent les fournisseurs courants et décrit chaque clé trouvée : son type, sa longueur en bits et si elle a été révoquée. Moins de 1024 bits est marqué critique et moins de 2048 donne un avertissement. Un sélecteur personnalisé n'apparaîtra pas ici.
Beat tourne sur le même moteur, à intervalles réguliers, sur l’ensemble des 41 vérifications et des 25 blacklists. Ce qu’il ajoute : reposer la question, remarquer quand une réponse change et vous dire quoi faire.
Problèmes fréquents de clé DKIM
Aucune clé sur les sélecteurs courants
Soit le domaine ne signe pas, soit il signe avec un sélecteur personnalisé. La balise s= de l'en-tête DKIM-Signature d'un message que vous avez envoyé donne le vrai.
Une clé de moins de 2048 bits
La RFC 8301 exige au moins 1024 bits et recommande 2048. Une clé de 1024 bits se vérifie toujours, mais c'est la plus faible des deux. Passez à 2048 quand votre fournisseur le permet.
Une clé révoquée
Une balise p= vide signifie que la clé a été retirée volontairement. Tout message encore signé avec ce sélecteur échoue à DKIM.
Une clé illisible
Les clés longues sont souvent collées avec des guillemets, des espaces ou des retours à la ligne en trop, ou mal découpées par un panneau DNS. Une clé illisible échoue exactement comme une clé absente.