Vérificateur DKIM :
votre clé est-elle assez forte ?

Saisissez votre domaine ci-dessus — sélecteur facultatif. Nous récupérons l’enregistrement TXT à selector._domainkey.yourdomain (en interrogeant dix sélecteurs courants si vous l’avez laissé vide), analysons chaque balise selon la RFC 6376, puis validons la clé elle-même : la valeur p= est décodée en base64, la structure DER qu’elle contient est parcourue champ par champ, et le module est mesuré et noté — en dessous de 1024 bits, faible ; 1024, acceptable ; 2048 et plus, recommandé. Gratuit, sans inscription.

Le sélecteur est le nom placé devant ._domainkey — choisi par la personne qui a configuré la signature, invisible dans toute liste DNS. Trois façons de trouver le vôtre : ouvrez un message que vous avez envoyé et lisez la balise s= de l’en-tête DKIM-Signature (« Afficher l’original » dans Gmail) ; collez cet en-tête entier dans cet outil et nous l’extrayons ; ou laissez le sélecteur vide et nous interrogeons les dix valeurs par défaut les plus courantes — google, selector1/2, k1/k2, s1/s2, default, dkim, mail. Trouver deux sélecteurs actifs est normal — c’est la rotation qui fonctionne.

Acceptable, vieillissante, et à planifier. Personne n’a publiquement factorisé du RSA-1024 — mais le NIST l’a interdit pour les nouvelles signatures dès 2013, la RFC 8301 indique aux signataires DKIM qu’ils devraient utiliser du 2048, et les grands fournisseurs de messagerie signent eux-mêmes en 2048. Le 1024 n’est pas l’urgence — ça, c’est le 512, factorisé en 2012 avec de la puissance de calcul louée dans le cloud. C’est la clé que vous changez selon votre calendrier plutôt que, un jour, selon celui d’un attaquant.

Le mode test. La RFC 6376 §3.6.1 indique aux vérificateurs de traiter le courrier d’un domaine en mode test exactement comme du courrier non signé — même quand la signature se vérifie parfaitement. Il existe pour permettre de tester le DKIM en conditions réelles pendant le déploiement, sans conséquences. Le piège, c’est qu’il fonctionne trop bien : rien ne casse tant qu’il est actif, donc on ne le retire jamais. Votre domaine passe alors des années à signer du courrier pour rien. Si cet outil en trouve un, la correction consiste à supprimer quatre caractères.

Une révocation délibérée. La RFC 6376 définit un p= vide comme signifiant « cette clé publique a été révoquée ». C’est l’épitaphe correcte pour un sélecteur que vous avez retiré, et c’est plus clair que de supprimer l’enregistrement, ce qui ressemble en tout point à une faute de frappe. Deux lectures sont possibles. Si vous avez basculé loin de ce sélecteur et que plus rien ne signe avec, c’est de l’hygiène : laissez-le tel quel. Si un expéditeur signe encore avec, chacun de ces messages échoue au DKIM en ce moment même. Vérifiez vos rapports DMARC à la recherche de dkim=fail pour ce sélecteur.

Les vérificateurs doivent prendre en charge jusqu’à 4096 bits (RFC 8301). Mais une clé de 4096 bits produit une valeur TXT assez longue pour nécessiter un découpage en chaînes, que certaines interfaces de fournisseurs DNS malmènent. Elle n’apporte aucune sécurité pratique supplémentaire par rapport au 2048 pour une clé que vous devriez de toute façon faire tourner, donc 2048 reste le point d’équilibre. L’autre voie est k=ed25519 (RFC 8463) : des clés minuscules de 32 octets, une cryptographie moderne. La prise en charge côté vérificateurs n’est pas encore universelle, donc les déploiements qui l’utilisent signent généralement aussi en RSA en parallèle. Cet outil lit k= et indique lequel vous avez publié.

Seule — non, et nous préférons le dire clairement. Le DKIM prouve deux choses : le message n’a pas été modifié depuis sa signature, et le domaine d= s’en porte garant. Il ne prouve pas que la ligne From: vue par votre destinataire correspond à ce domaine — un fraudeur peut signer sans faille avec son propre domaine tout en affichant le vôtre. Combler cet écart, c’est le rôle du DMARC (l’alignement), et dire quels serveurs peuvent envoyer du tout, c’est celui du SPF. La bonne combinaison, c’est SPF + DKIM + DMARC. Cet outil s’assure que le maillon DKIM est solide — une clé révoquée ou en mode test sabote discrètement les deux autres.