Aller au contenu

Test DKIM gratuit

Saisissez un domaine pour tester ses DKIM. Le scan lit les sélecteurs détectés, essaie les sélecteurs courants s’il n’en trouve aucun, et vous laisse lire le sélecteur exact de votre en-tête.

Qu’est-ce qu’un DKIM ?

Un enregistrement DKIM publie la clé publique qui vérifie la signature d’un e-mail. Chaque clé vit à un nom DNS propre à son sélecteur. Ce test lit les sélecteurs détectés ou saisis ; il faut encore tester un vrai e-mail pour prouver que le chemin réel a signé et que la signature a passé chez le destinataire.

Lire votre résultat DKIM

RésultatSignificationQue faire
Clé publique détectéeLe scan a trouvé un DKIM avec une clé publique lisible sur un sélecteur détecté.Envoyez un nouvel e-mail réel et vérifiez que le destinataire note dkim=pass pour le même domaine d= et sélecteur s=.
IntrouvableLe scan n’a trouvé aucun enregistrement utilisable sur les sélecteurs détectés ni sur les sélecteurs courants essayés.Confirmez d= et s= sur un vrai e-mail ou chez le fournisseur ; un sélecteur propre peut exiger une recherche exacte.
Mal formé ou incompletLa valeur TXT ne se lit pas comme la clé publique attendue par l’expéditeur.Comparez-la octet par octet à la valeur du fournisseur, retirez guillemets ou sauts de ligne parasites, publiez la correction et attendez le TTL.
Valeur p= videLe sélecteur est révoqué et ne fournit plus de clé publique pour vérifier.Cessez de signer avec cette clé ou activez le sélecteur de remplacement avant de retester.
DNS valide, e-mail en échecL’enregistrement existe, mais le destinataire n’a pas pu vérifier la signature de l’e-mail testé.Vérifiez le chemin exact, les valeurs d= et s=, le hash du corps, les modifications après signature et l’alignement DMARC.

Faire des tests DKIM utiles

Partez d’un e-mail envoyé par le chemin réel à vérifier. Relevez dans son en-tête DKIM-Signature le domaine d= et le sélecteur s= de ce message. Saisissez le domaine de signature, puis comparez les sélecteurs du scan à ceux du message. Si le sélecteur exact manque, saisissez-le dans le champ sous le résultat pour le lire directement.

Si le résultat contredit la console du fournisseur, interrogez le serveur de noms faisant autorité et comparez nom exact et valeur. Causes courantes : mauvais sélecteur, domaine racine au lieu du domaine de signature, CNAME du fournisseur vers une cible inactive, ou enregistrement absent de la zone faisant autorité.

Ce que ce test peut prouver

Ce test montre ce que le DNS public renvoie pour les sélecteurs détectés et si leurs clés sont utilisables. Il ne prouve pas qu’il a trouvé tous les sélecteurs, que tous les systèmes signent, qu’un destinataire a accepté une signature ni que DKIM s’aligne pour DMARC. Il faut pour cela les en-têtes d’origine d’un e-mail reçu.

Vérifier DKIM sur un e-mail

Envoyez le même type d’e-mail par chaque chemin réel important, gardez la source d’origine reçue et lisez un en-tête Authentication-Results fiable. Un dkim=none signifie en général que ce chemin n’a pas signé. Un dkim=fail impose d’examiner la raison notée, le sélecteur et toute modification après signature. Un pass exige encore l’alignement : comparez le domaine DKIM d= au From visible avec le test DMARC et le résultat du message.

Tests et correctifs DKIM liés

Qu’est-ce que DKIM ?Alignement DKIMÉchec du body hash DKIMTest DMARCTest anti-spamScore de sécurité e-mail

Base de connaissances e-mail

Ce test DKIM vérifie-t-il chaque sélecteur ?

Pas seul. Le scan signale les sélecteurs détectés et, s’il n’en trouve aucun, essaie 20 sélecteurs courants comme google, selector1 et k1. Un sélecteur propre peut échapper : saisissez la valeur s= de l’en-tête DKIM-Signature d’un vrai e-mail dans le champ sous le résultat.

Où trouver mon sélecteur DKIM ?

Ouvrez un e-mail envoyé du domaine, affichez sa source et trouvez l’en-tête DKIM-Signature. s= est le sélecteur, d= le domaine de signature. L’enregistrement est à selector._domainkey.domain : s=s1 et d=example.com donnent s1._domainkey.example.com. Les réglages DKIM de votre fournisseur montrent la même valeur.

Un DKIM publié prouve-t-il que les e-mails sont signés ?

Non. Une clé publique prouve que le DNS sert un enregistrement pour ce sélecteur, pas que chaque chemin réel signe, utilise ce sélecteur, résiste aux modifications ou passe chez le destinataire. Vérifiez à part un e-mail fraîchement reçu.

Que signifie un p= DKIM vide ?

Un p= vide révoque la clé publique de ce sélecteur. Un expéditeur qui signe encore avec la clé privée liée échouera. Vérifiez que le retrait est voulu avant de le supprimer ou d’activer un remplaçant.

DKIM passe, DMARC échoue : pourquoi ?

DMARC exige que le domaine d= du DKIM qui passe s’aligne sur le From visible. DKIM peut valider un domaine de signature du fournisseur alors que DMARC échoue à l’alignement. Comparez les domaines exacts, puis configurez une signature alignée si le fournisseur le permet.

Que faire quand un e-mail indique dkim=none ?

Vérifiez si l’e-mail a un en-tête DKIM-Signature. Sinon, activez DKIM sur ce chemin réel exact. Si oui, assurez-vous de lire un en-tête Authentication-Results fiable ajouté par le destinataire et voyez s’il a noté un autre résultat.

Un test DKIM garantit-il la boîte de réception ?

Non. DKIM est un signal d’authentification parmi d’autres. Les destinataires évaluent aussi l’alignement DMARC, SPF, la réputation d’expéditeur et d’IP, l’engagement, le contenu et leur politique. Un DKIM valide et une signature qui passe sont nécessaires, pas une garantie.