Configurer DKIM pour votre messagerie professionnelle

Avant de modifier une clé

Vérifiez d’abord l’état de la signature et les DNS existants. L’absence de réponse pour un sélecteur courant ne prouve pas que DKIM manque : l’expéditeur peut employer un autre nom. Préservez les sélecteurs fonctionnels et les enregistrements MX, SPF et DMARC. Une boîte de réception ou un alias n’identifie pas tous vos services d’envoi.

Google Workspace

1. Demandez à votre super-administrateur d’ouvrir Applications → Google Workspace → Gmail → Authentifier les e-mails et de sélectionner le domaine d’envoi exact. Si la signature fonctionne déjà, conservez la clé actuelle.
2. Pour une nouvelle configuration, choisissez Générer un nouvel enregistrement et une clé de 2048 bits si votre fournisseur DNS le permet. Utilisez un sélecteur libre. Copiez le nom TXT et la valeur complète affichés par Google ; ne réutilisez jamais la clé d’un autre domaine.
3. Publiez cet enregistrement TXT exact chez votre fournisseur DNS, selon son format de nom pour ne pas ajouter deux fois le domaine. Revenez dans Google Admin et choisissez Démarrer l’authentification. Vérifiez que le statut indique l’authentification des e-mails avec DKIM.

Un service Gmail nouvellement activé peut nécessiter 24 à 72 heures avant la génération d’une clé. Les DNS et l’authentification peuvent prendre jusqu’à 48 heures. Un fournisseur peut avoir déjà créé l’enregistrement ; vérifiez avant d’en ajouter un. Les instructions DKIM de Google

Microsoft 365

1. Votre domaine personnalisé doit déjà être ajouté à Microsoft 365. Dans Microsoft Defender, ouvrez E-mail et collaboration → Stratégies et règles → Stratégies de menace → Paramètres d’authentification des e-mails → DKIM, puis sélectionnez ce domaine.
2. Si le domaine affiche NoDKIMKeys, activez la signature pour générer les instructions de ses clés. L’erreur CNAME initiale est attendue tant que les DNS ne sont pas prêts ; fermez-la, ouvrez les détails du domaine et Publier les CNAME. Copiez les deux cibles exactes pour selector1._domainkey et selector2._domainkey.
3. Publiez les deux CNAME en préservant les autres entrées. Utilisez les cibles fournies par votre tenant : Microsoft attribue une partie de chaque nom, donc les exemples et valeurs déduites des MX ne conviennent pas. Gardez un TTL d’au moins 3600 secondes.
4. Une fois les CNAME détectés par Microsoft, activez la signature DKIM des messages pour ce domaine et confirmez le statut indiquant que les signatures DKIM sont actives. La détection peut prendre plusieurs minutes ou davantage.

Configuration et dépannage DKIM de Microsoft

Vérifier un message envoyé après l’activation

Après propagation DNS et activation, envoyez depuis chaque service et adresse d’expéditeur vers une boîte externe distincte que vous contrôlez, avec l’autorisation d’envoyer ce test. Un autre alias de la même boîte ne suffit pas ; le courrier interne peut suivre un autre circuit de signature.

• Ouvrez les en-têtes originaux du message reçu. Dans DKIM-Signature, d= identifie le domaine signataire et s= le sélecteur réel.
• Cherchez dkim=pass dans Authentication-Results émis par le service destinataire. Vérifiez que le domaine de cette signature valide est aligné avec le domaine visible de l’expéditeur selon votre politique DMARC. Une réussite pour le seul domaine du fournisseur ne suffit pas.
• Conservez le message et l’heure d’observation en privé. Les anciens messages servent seulement de référence. Une clé publiée ne prouve ni la signature active ni la réception dans la boîte principale.

Configurer DMARC pour Google Workspace