Sélecteur DKIM : quel nom DNS faut-il vérifier ?
Votre fournisseur demande un TXT ou un CNAME à un nom contenant _domainkey. Pour savoir quoi vérifier, le domaine seul ne suffit pas. Une signature DKIM indique aussi un sélecteur.
Le sélecteur désigne une clé
Dans une signature DKIM, les paramètres d et s indiquent respectivement le domaine de signature et le sélecteur. Le vérificateur construit le nom DNS associé pour retrouver la clé publique.
Plusieurs sélecteurs peuvent coexister, notamment pendant une rotation ou pour plusieurs plateformes d’envoi. L’existence de deux sélecteurs n’est pas l’équivalent de deux politiques SPF concurrentes.
Avec d=example.org et s=mail2026, le nom à examiner est mail2026._domainkey.example.org. Cet exemple décrit la construction du nom ; il ne fournit aucune clé à réutiliser.
Copier le nom sans doubler le domaine
Le fournisseur peut demander une publication directe en TXT ou une délégation par CNAME. Respectez le type et la cible indiqués. Certains panneaux complètent automatiquement le suffixe du domaine.
Vérifiez le nom final affiché après enregistrement. Un sélecteur publié sous un nom trop long ou au mauvais domaine ne sera pas trouvé par le récepteur.
La clé privée ne va pas dans le DNS
Le serveur d’envoi utilise la clé privée pour signer. Le DNS met à disposition les informations publiques nécessaires à la vérification. Ne publiez pas un fichier de clé privée ou un export de compte dans une demande d’aide.
La publication seule ne force pas le fournisseur à signer vos messages. Il peut rester une activation ou une validation à effectuer dans sa console.
Contrôler un message réellement envoyé
Examinez sa signature et les résultats d’authentification fournis par le destinataire. Un autre service peut signer avec son propre domaine ; le résultat doit alors être interprété avec les règles d’alignement DMARC.
Notre recherche DNS permet de lire un nom si vous connaissez le sélecteur. Le contrôle mail général ne devine pas tous les sélecteurs possibles et ne valide pas cryptographiquement les messages. Avant de retirer une ancienne clé, suivez la procédure de rotation du fournisseur et tenez compte des messages encore en transit.