Qu'est-ce que le DKIM (DomainKeys Identified Mail) ?

Définition

DomainKeys Identified Mail est l'un des trois piliers de l'authentification d'emails moderne, aux côtés de SPF et DMARC. Là où SPF répond à la question de savoir si un message provient d'un serveur autorisé, DKIM répond à deux questions légèrement différentes. Il confirme que le message a été approuvé par quelqu'un qui contrôle le domaine d'envoi, et il confirme que personne n'a altéré le message après son envoi.

Le DKIM y parvient grâce à la cryptographie à clé publique. Le domaine d'envoi détient une clé privée gardée secrète sur son infrastructure de messagerie, et il publie une clé publique correspondante dans le Domain Name System, lisible par tous. Lorsque le domaine envoie un message, son serveur de messagerie utilise la clé privée pour générer une signature numérique sur certaines parties de l'email et ajoute cette signature au message sous forme d'en-tête caché. À l'arrivée du message, le serveur destinataire récupère la clé publique dans le DNS et s'en sert pour vérifier la signature. Comme seul le détenteur de la clé privée a pu produire une signature que la clé publique valide, un contrôle DKIM réussi est une preuve solide que le message est authentique et intact.

Comment ça fonctionne

Le DKIM repose sur une paire de clés cryptographiques. Une clé privée est générée pour le domaine et stockée en sécurité sur le système de messagerie d'envoi, et la clé publique correspondante est publiée sous forme d'enregistrement DNS TXT. Cet enregistrement se trouve à un emplacement spécial construit à partir d'un libellé appelé sélecteur, sous la forme selector._domainkey.yourdomain.com. Le sélecteur existe pour qu'un domaine puisse publier plusieurs clés à la fois, ce qui est utile pour attribuer une clé distincte à chaque service d'envoi et pour faire tourner les clés en toute sécurité au fil du temps.

Lorsque le domaine envoie un message, son serveur de messagerie choisit quelles parties de l'email protéger. Cela inclut toujours le corps du message et un ensemble choisi de champs d'en-tête, couramment From, To, Subject, Date et d'autres. Le serveur calcule un hachage du corps et un hachage sur les en-têtes choisis, puis utilise la clé privée pour signer ces données, produisant la signature. Tout cela est consigné dans un nouvel en-tête appelé DKIM-Signature, ajouté au message. Cet en-tête porte le domaine signataire dans une balise d=, le sélecteur dans une balise s=, la liste des en-têtes signés dans une balise h=, le hachage du corps dans une balise bh=, et la signature elle-même dans une balise b=.

Côté réception, le serveur lit l'en-tête DKIM-Signature, en extrait le domaine et le sélecteur, et recherche l'enregistrement de clé publique correspondant dans le DNS. Il recalcule ensuite le hachage du corps et le hachage des en-têtes en utilisant exactement les mêmes en-têtes listés dans h=, et il se sert de la clé publique pour vérifier que la signature dans b= correspond à ces données recalculées. Si la bonne clé privée a été utilisée et qu'aucun contenu signé n'a été modifié en transit, la signature se valide et le DKIM passe. Si un en-tête signé ou le corps a été modifié, les hachages ne correspondent plus et le contrôle échoue. Une conséquence pratique est que la signature ne couvre que les en-têtes explicitement listés, et qu'elle ne reste valide que tant que les systèmes de messagerie intermédiaires n'altèrent pas les parties signées du message.

Pourquoi c'est important pour la délivrabilité des e-mails

Le DKIM est un signal de confiance fort et persistant pour les fournisseurs de messagerie. Une signature DKIM systématiquement valide indique à un fournisseur qu'un vrai domaine se tient derrière le courrier et est prêt à en répondre, ce qui aide ce courrier à mériter une place en boîte de réception. Tout aussi important, le DKIM possède une qualité qui manque à SPF. Comme la signature voyage à l'intérieur du message lui-même plutôt que de dépendre du serveur qui se connecte, le DKIM survit généralement au transfert d'emails, alors que SPF se brise souvent lorsqu'un message est transféré. Cela fait du DKIM le plus durable des deux contrôles le long de chemins de livraison complexes.

Le DKIM est aussi une brique de base de DMARC. DMARC passe lorsque SPF ou DKIM passe et que le résultat s'aligne avec le domaine From visible, si bien qu'un message DKIM correctement signé offre à un domaine une voie fiable vers l'alignement DMARC. Depuis les exigences pour expéditeurs de 2024 de Google et Yahoo, les expéditeurs en masse doivent s'authentifier à la fois avec SPF et DKIM, et le courrier qui arrive sans signature DKIM valide a bien plus de chances d'être filtré ou rejeté. Une configuration DKIM correcte est passée du statut de bonne pratique à celui d'attente de référence pour quiconque envoie des emails à grande échelle.

Comment VeriMails gère cela

Le DKIM et la vérification d'emails protègent la délivrabilité sous deux angles différents, et un programme d'emailing sain a besoin des deux. Le DKIM authentifie les messages que vous envoyez, prouvant aux serveurs destinataires que le courrier est authentique et non altéré. La vérification d'emails nettoie l'audience à laquelle vous écrivez, en s'assurant que chaque adresse de votre liste est réelle et joignable. L'authentification sans liste propre produit quand même des rebonds, et une liste propre sans authentification paraît quand même peu fiable, si bien que les deux fonctionnent en tandem.

VeriMails se concentre sur le côté destinataire de ce tandem. Chaque adresse que vous soumettez passe par la validation de la syntaxe, une recherche MX et DNS, un handshake SMTP en direct, la détection des catch-all, la détection des adresses jetables et la détection des adresses génériques, ce qui retire les adresses invalides qui, sinon, rebondiraient et nuiraient à la réputation que vos enregistrements DKIM, SPF et DMARC existent pour défendre. Pour soutenir aussi le volet authentification, VeriMails propose un générateur DKIM gratuit qui crée une paire de clés et l'enregistrement DNS que vous devez publier. Vous pouvez vérifier une liste via l'API REST ou un import CSV en masse, avec des catégories de délivrabilité claires pour vos décisions de campagne. La vérification démarre à $0.0019 par email, avec 10,000 crédits pour $19 et des forfaits annuels à partir de $12.50/month en facturation annuelle, et chaque compte commence avec 100 crédits gratuits, sans carte bancaire, qui n'expirent jamais.

Questions fréquentes