DKIM permet à un domaine de signer les messages email sortants avec une clé privée, ce qui permet aux serveurs récepteurs de vérifier la signature en utilisant la clé publique de l'expéditeur publiée dans le DNS. Cela prouve que le message provient genuinement de ce domaine et n'a pas été modifié.
Fonctionnement :
Le serveur de messagerie sortant signe les en-têtes email et le corps du message sélectionnés, en insérant un champ d'en-tête DKIM-Signature: dans le message. La clé publique est publiée en tant que TXT record dans le DNS à l'adresse selector._domainkey.domain.com. Lorsque le serveur récepteur reçoit l'email, il extrait le sélecteur et le domaine de l'en-tête de signature, récupère la clé publique via DNS, et vérifie que la signature cryptographique correspond au contenu du message.
La signature couvre une forme canonicalisée (simplifiée) des en-têtes tels que From, Subject et Date, ainsi que le corps. L'en-tête DKIM-Signature inclut des balises telles que :
d=— le domaine signataires=— le nom du sélecteura=— l'algorithme (ex.rsa-sha256,ed25519-sha256)b=— la valeur de signature réelle
Exemple d'enregistrement DNS :
selector1._domainkey.example.com IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEB..."
DKIM fonctionne aux côtés de SPF et DMARC dans le cadre d'une stratégie d'authentification email en couches. Contrairement à SPF, DKIM ne vérifie pas l'adresse envelope-from — il ne fait que prouver que le domaine signataire a autorisé le message. C'est pourquoi les politiques d'alignement DMARC lient DKIM ou SPF à l'adresse From visible.
WarningLe transfert d'email et les listes de diffusion qui modifient les en-têtes ou ajoutent des pieds de page cassent les signatures DKIM, car le contenu signé ne correspond plus. C'est une raison courante des échecs d'authentification sur les emails transférés.