Vérificateur d'enregistrements DKIM gratuit

DKIM (DomainKeys Identified Mail) utilise des signatures cryptographiques pour vérifier l'authenticité des e-mails.

Un sélecteur est une étiquette utilisée pour distinguer plusieurs clés DKIM sur un même domaine (par exemple, google, mail, s1).

Oui, entièrement gratuit.

Absolument. Le vérificateur d'enregistrements DKIM traite tout côté client, dans votre navigateur. Aucune donnée n'est transférée ni stockée sur un serveur. Votre contenu reste privé sur votre appareil à tout moment.

Oui, le vérificateur d'enregistrements DKIM est entièrement responsive et fonctionne sur smartphones et tablettes. Vous pouvez l'utiliser sur n'importe quel appareil doté d'un navigateur web moderne, sans téléchargement d'application.

Aucun compte ni inscription n'est nécessaire. Ouvrez simplement le vérificateur d'enregistrements DKIM dans votre navigateur et commencez à l'utiliser immédiatement. Il n'y a aucune barrière d'inscription ni restriction d'utilisation.

Saisissez simplement vos données dans le champ prévu, ajustez les paramètres selon vos préférences, et l'outil les traitera instantanément. Vous pouvez ensuite copier le résultat dans le presse-papiers ou le télécharger.

Le vérificateur d'enregistrements DKIM fonctionne sur tous les navigateurs modernes, dont Chrome, Firefox, Safari, Edge et Opera. Pour une expérience optimale, utilisez la dernière version de votre navigateur préféré.

Il n'existe aucune commande DNS permettant de lister tous les sélecteurs d'un domaine, car les enregistrements DKIM se trouvent à un nom d'hôte précis — selecteur._domainkey.votredomaine.com — et vous ne pouvez interroger qu'un nom que vous connaissez déjà. Le moyen le plus rapide de trouver le vôtre est d'ouvrir un message récent envoyé par votre domaine et de lire l'en-tête DKIM-Signature : la balise s= indique le sélecteur. Si vous ne pouvez pas voir les en-têtes, le sélecteur correspond presque toujours à celui utilisé par défaut par votre plateforme d'envoi, comme google pour Google Workspace, k1 ou mandrill pour Mailchimp, s1 et s2 pour SendGrid, ou protonmail pour Proton. Ce vérificateur propose ces sélecteurs courants sous forme de boutons en un clic, afin que vous puissiez tous les essayer en quelques secondes et confirmer quelle clé votre fournisseur publie réellement.

La balise p= contient la clé publique que les serveurs destinataires utilisent pour vérifier vos signatures ; un p= vide n'est donc pas un simple champ vide anodin — c'est une révocation explicite. Publier un p= sans valeur indique au monde entier que toute clé précédemment associée à ce sélecteur n'est plus valide, et les e-mails signés avec celle-ci échoueront à la vérification DKIM. Les fournisseurs font cela intentionnellement lorsqu'ils retirent un sélecteur après une rotation de clé, mais cela peut aussi arriver par accident si un enregistrement est mal copié ou tronqué dans un éditeur DNS. Si des e-mails légitimes échouent soudainement à l'authentification, une clé vide sur votre sélecteur actif est un suspect de premier plan. Cet outil signale un p= manquant comme révoqué plutôt que valide, afin que vous puissiez repérer immédiatement une clé morte et republier un enregistrement à jour.

Une clé RSA de 1024 bits produit encore des signatures valides et réussira l'authentification aujourd'hui, mais ce n'est plus la norme recommandée. Le NIST et la plupart des grands fournisseurs de messagerie considèrent désormais 2048 bits comme le seuil de référence pour DKIM, car les clés de 1024 bits sont jugées de plus en plus faciles à casser compte tenu de la puissance de calcul actuelle. Le risque concret est qu'un attaquant parvenant à factoriser la clé pourrait forger des e-mails signés au nom de votre domaine. La mise à niveau consiste à générer une nouvelle clé de 2048 bits chez votre fournisseur de messagerie, à publier la nouvelle clé publique sous un sélecteur inédit, puis à supprimer l'ancienne une fois que les e-mails circulent normalement. Ce vérificateur estime la taille de la clé à partir de la clé publique publiée et l'évalue comme robuste à 2048 bits ou plus, acceptable à 1024 bits, et faible en dessous, afin que vous puissiez voir d'un coup d'œil si votre enregistrement a besoin d'une mise à niveau.

Lorsque vous passez à une nouvelle plateforme d'envoi, le nouveau fournisseur signe vos e-mails sortants avec sa propre clé privée sous son propre sélecteur — et cette clé ne fonctionne que si la clé publique correspondante est publiée dans votre DNS. Les échecs surviennent généralement parce que le sélecteur de l'ancien fournisseur est toujours en place alors que le nouveau n'a jamais été ajouté, ou parce que le nouvel enregistrement TXT a été collé incorrectement et que la clé publique est mal formée. Le serveur destinataire recherche le sélecteur indiqué dans la signature de chaque message ; si ce nom d'hôte exact n'a pas d'enregistrement valide, la vérification échoue et DMARC peut rejeter le message discrètement. Après tout changement de fournisseur, vérifiez ici le nouveau sélecteur pour confirmer que l'enregistrement se résout et que la clé publique est présente, puis supprimez le sélecteur obsolète pour éviter toute confusion avec d'anciennes configurations non signées.

Les trois mécanismes fonctionnent ensemble mais vérifient des éléments différents. SPF publie une liste d'adresses IP et de serveurs autorisés à envoyer des e-mails pour votre domaine, ce qui permet à un destinataire de confirmer que le message provient d'une source autorisée. DKIM ajoute une signature cryptographique à chaque message et publie la clé publique dans le DNS, prouvant que l'e-mail provient réellement de votre domaine et n'a pas été modifié en transit. DMARC relie les deux : il indique aux destinataires quoi faire lorsque SPF ou DKIM échoue — none, quarantine ou reject — et où envoyer les rapports. Une politique DMARC stricte exige qu'au moins l'un des deux, SPF ou DKIM, réussisse et soit aligné, ce qui explique pourquoi un enregistrement DKIM défaillant peut discrètement réduire votre portée. Utilisez ce vérificateur pour confirmer que la partie DKIM est saine avant de durcir votre politique DMARC.