DKIM
Authentification de messagerie qui signe cryptographiquement les messages avec la clé privée du domaine.
DKIM (DomainKeys Identified Mail) permet à un serveur de messagerie d'apposer une signature cryptographique sur les messages sortants. La signature couvre des champs d'en-tête sélectionnés et le corps du message, et est ajoutée sous forme d'en-tête DKIM-Signature.
La clé publique correspondante est publiée comme enregistrement TXT dans le DNS à selector._domainkey.example.com. Le sélecteur permet de faire tourner les clés ou d'exploiter plusieurs clés en parallèle ; un serveur de réception lit le sélecteur dans l'en-tête de signature, récupère la clé publique via DNS et vérifie la signature.
Les paires de clés sont généralement de 1024 ou 2048 bits — 2048 bits étant aujourd'hui la recommandation, même si la valeur publique correspondante doit alors être découpée en plusieurs chaînes dans le TXT. La balise c= choisit la canonisation : simple est stricte sur les espaces, relaxed tolère certaines réécritures par des relais intermédiaires. La balise optionnelle l= limite la signature aux N premiers octets du corps ; elle est commode pour les listes de diffusion mais ouvre la porte à des ajouts non signés et est donc déconseillée.
Une signature DKIM valide prouve que le message a été autorisé par quelqu'un qui contrôle la clé de signature du domaine et que le contenu signé n'a pas été modifié en transit. Comme la signature voyage avec le message, DKIM survit mieux que SPF aux transferts. Avec SPF et DMARC, DKIM constitue la base de l'authentification moderne de la messagerie.
Points clés
- Signature cryptographique apposée sur les messages sortants
- Paire de clés asymétriques publique/privée (1024 ou 2048 bits)
- Clé publique publiée dans le DNS en TXT sous
selector._domainkey - Signature stockée dans l'en-tête
DKIM-Signature - Vérifie l'autorisation de l'expéditeur et l'intégrité du message
- Les sélecteurs permettent la rotation et la coexistence de clés
- Survit mieux que SPF aux transferts de messages