Générateur DKIM : créer et vérifier le DNS

Si vous cherchez un générateur d'enregistrements DKIM parce que Gmail ou Google Postmaster Tools signalent des échecs d'authentification, vérifiez d'abord les bases. Notre guide de messagerie avec son domaine couvre MX, SPF, DKIM, DMARC et les erreurs DNS qui peuvent perturber l'envoi.

Beaucoup d'outils négligent une distinction essentielle : la clé publique est publiée dans le DNS, tandis que la privée reste sur le système signataire. Un site qui génère la clé sur son serveur peut y accéder. Une génération exclusivement dans le navigateur, correctement auditée, peut éviter cette exposition ; une simple affirmation ne suffit pas. La clé permet de signer pour un domaine, sans prouver à elle seule l'identité du From visible.

Ce guide présente deux démarches pratiques pour un générateur d'enregistrements DKIM en 2025-2026 : créer les clés localement avec OpenSSL sur une infrastructure autonome, ou suivre les enregistrements et la gestion des clés indiqués par TrekMail, Amazon SES, SendGrid, Mailgun ou Google Workspace pour le service qui envoie réellement.

Qu'est-ce qu'un générateur d'enregistrements DKIM ?

Un générateur d'enregistrements DKIM prépare les données DNS de DomainKeys Identified Mail. Il peut créer une paire RSA pour un TXT, ou fournir les CNAME du prestataire qui pointent vers sa clé publiée ailleurs lorsque le service utilise une délégation.

DKIM signe les messages sortants avec une clé privée. Le destinataire récupère la clé publique correspondante dans le DNS et vérifie la signature du domaine signataire ainsi que l'intégrité des parties signées, selon la canonicalisation appliquée.

Pour les signatures RSA, la RFC 8301 impose rsa-sha256, au moins 1024 bits et recommande au moins 2048 bits. Un générateur d'enregistrements DKIM devrait donc faciliter RSA 2048 plutôt que 1024, sans que la taille garantisse à elle seule la sécurité ou la remise des messages.

Les risques des générateurs web inconnus

Avant de faire confiance à un outil web, examinez le traitement de la clé privée. Si elle est générée ou transmise au serveur, l'opérateur peut y accéder. Une génération locale dans le navigateur peut réduire cette exposition si l'implémentation est vérifiée ; la promesse de la page ne suffit pas.

DKIM n'est pas qu'un exercice de mise en forme DNS. C'est une signature cryptographique liée à un domaine. Limitez l'accès à la clé privée au système signataire et à son administration autorisée. Un tiers qui la crée, la journalise ou la conserve pourrait ensuite signer des messages pour ce domaine.

Clé publique dans le DNS, clé privée sur le système signataire. Si un formulaire fournit les deux, vérifiez où la privée a été créée et si elle a quitté le navigateur.

Voilà le critère important pour un générateur d'enregistrements DKIM : où la clé privée a-t-elle été créée, et qui a pu y accéder ? Si vous ne pouvez pas vérifier la réponse, ne l'utilisez pas en production.

Créer les clés localement avec OpenSSL

Un générateur d'enregistrements DKIM local, tel qu'OpenSSL sur votre poste ou le serveur signataire, réduit l'exposition aux sites externes. La protection dépend toujours du poste, des permissions, des sauvegardes et de la manipulation des fichiers.

Cette méthode convient à Postfix, Exim, Exchange, OpenDKIM ou une autre infrastructure autonome avec signature DKIM configurée. Générez la paire localement, installez la privée sur le système signataire et publiez uniquement la publique dans le DNS.

Créez une paire RSA de 2048 bits :

openssl genrsa -out private.key 2048
openssl rsa -in private.key -pubout -out public.key

Le fichier public.key ressemble à ceci ; la clé abrégée est illustrative, pas utilisable telle quelle :

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAr...
-----END PUBLIC KEY-----

Préparez son contenu :

Supprimez les lignes BEGIN PUBLIC KEY et END PUBLIC KEY.
Supprimez les retours à la ligne.
Ajoutez les champs DKIM appropriés.

Voici la forme habituelle d'un TXT manuel, avec une clé abrégée à remplacer :

default._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAr..."

Une clé brute ne suffit pas. Un générateur d'enregistrements DKIM doit préparer un enregistrement valide : v=DKIM1 est facultatif, mais doit obligatoirement être le premier champ s'il est présent ; p= est obligatoire. Les champs optionnels s=email et t=s ne sont généralement pas nécessaires pour un déploiement de base.

La limite de 255 octets des chaînes TXT

Certains panneaux DNS compliquent la publication du résultat d'un générateur d'enregistrements DKIM. Une clé RSA de 2048 bits est longue. Chaque chaîne TXT a une limite en octets : il peut être nécessaire de répartir la valeur entre plusieurs segments entre guillemets du même enregistrement.

Un ancien panneau peut rejeter, tronquer ou ne conserver qu'une partie de la clé. Vous pourriez obtenir permerror, une erreur de format ou un avertissement DKIM alors que le nom du sélecteur existe.

Si le prestataire exige ce découpage, placez plusieurs chaînes entre guillemets dans un seul TXT ; les fragments ci-dessous sont illustratifs :

default._domainkey.example.com. IN TXT (
  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEArFirstPart"
  "SecondPartOfTheSamePublicKey"
)

Le vérificateur DKIM réunit les chaînes du même enregistrement pour obtenir une valeur logique. Le résolveur peut les afficher séparément. Un générateur d'enregistrements DKIM utile explique ce découpage et le format accepté par votre panneau DNS.

Gestion des clés par le prestataire et délégation

Pour beaucoup d'entreprises, le générateur d'enregistrements DKIM adapté est celui du service d'envoi. Certains prestataires fournissent des CNAME, conservent la clé privée et gèrent la rotation. D'autres utilisent des TXT ou demandent des interventions : délégation et rotation automatique ne sont pas universelles.

Avec TrekMail, Amazon SES, Google Workspace, SendGrid ou Mailgun, suivez les instructions du service précis. Il peut demander un TXT contenant la clé ou des CNAME de sélecteur pointant vers son TXT. Ne supposez pas que tous fonctionnent de la même façon.

Aspect	Gestion autonome	Gestion du prestataire
Création des clés	Vous créez et conservez les clés RSA	Le prestataire gère les clés selon son service
Enregistrement DNS	Longue valeur TXT	CNAME délégué ou TXT indiqué par le prestataire
Rotation	Manuelle, facile à oublier	Automatique ou assistée selon le service
Échecs possibles	Syntaxe, troncature, clés obsolètes	Erreurs DNS, enregistrements manquants ou configuration de signature
Usage courant	MTA auto-hébergés	Messagerie et SMTP hébergés

TrekMail propose un parcours de configuration avec contrôles DNS selon le mode d'envoi. Plutôt que généraliser un exemple TXT ou CNAME, consultez les instructions actuelles de Ajouter un domaine.

La configuration dépend du chemin d'envoi. Nano utilise votre propre SMTP pour les messages sortants. Les offres payantes incluant le SMTP géré annoncent Starter à partir de $3.50 par mois. Elles peuvent proposer un essai de 14 jours nécessitant une carte ; Nano est proposé sans essai ni carte. Vérifiez les conditions en vigueur avant de choisir.

Pour les utilisateurs de TrekMail, le bon générateur d'enregistrements DKIM dépend du chemin d'envoi :

Si TrekMail signe via le SMTP géré, utilisez les enregistrements du tableau de bord.
Avec votre propre SMTP, configurez DKIM sur le relais qui envoie réellement et publiez ses enregistrements ; utiliser un relais ne garantit pas qu'il signe.
Si le prestataire fournit des CNAME de sélecteur, conservez ce type. Ne les transformez pas en TXT pour suivre un exemple générique.

Pour choisir entre transfert, alias et boîtes, lisez alias de domaine ou boîte mail et transfert des alias. Ces choix influencent le système qui envoie réellement et donc la configuration DKIM à appliquer.

Où publier le sélecteur

Un générateur d'enregistrements DKIM prépare des données sous le nom d'un sélecteur, pas à la racine du domaine. Exemples courants : default._domainkey, google._domainkey ou tm1._domainkey.

Les interfaces DNS diffèrent : certaines attendent un nom relatif, d'autres un nom complet. Si le panneau ajoute déjà la zone, saisir le domaine entier peut créer default._domainkey.example.com.example.com. Ce nom ne répondra pas à la recherche du sélecteur prévu.

Exemples de noms relatifs :

default._domainkey
selector1._domainkey
tm1._domainkey

Pour plusieurs domaines clients, privilégiez des procédures reproductibles plutôt que des corrections isolées. Notre guide d'hébergement de messagerie multidomaine explique comment organiser cette exploitation.

Valider le résultat d'un générateur d'enregistrements DKIM

Ne vous limitez pas au voyant du tableau de bord. Vérifiez le DNS en ligne de commande. Interrogez directement le sélecteur préparé par le générateur d'enregistrements DKIM avec dig et examinez sa réponse.

Commencez par cette requête :

dig txt default._domainkey.example.com +short

Si la requête aboutit, vous verrez la valeur DKIM ou ses chaînes entre guillemets. Après une modification, vous pouvez comparer la réponse d'un résolveur public :

dig txt default._domainkey.example.com @8.8.8.8 +short

Points à vérifier :

Aucune réponse : contrôlez sélecteur, nom, état DNS, caches et erreurs de requête ; cela ne révèle pas une cause unique.
Réponse apparemment partielle : examinez toutes les chaînes TXT et la valeur enregistrée avant de conclure à une troncature.
Plusieurs TXT DKIM sous le même sélecteur : ils peuvent invalider la vérification et doivent être corrigés.
DNS correct mais signature en échec : examinez les en-têtes et confirmez le sélecteur et la paire de clés de l'expéditeur.

Si Gmail signale encore des problèmes, consultez ses exigences pour les expéditeurs en masse, qui comprennent SPF, DKIM et DMARC. Les échecs d'authentification peuvent affecter l'acceptation ; un échec DKIM n'entraîne pas forcément un échec DMARC si SPF passe avec alignement. La FAQ des consignes pour les expéditeurs décrit l'application actuelle.

Vérifiez aussi le chemin d'envoi TrekMail. La référence Paramètres IMAP et SMTP décrit votre propre SMTP pour Nano et TrekMail SMTP lorsque l'offre payante le permet. Si les messages arrivent dans les indésirables malgré un DNS correct, suivez Mes messages arrivent dans les indésirables.

Conclusion : choisir la configuration adaptée

Le générateur d'enregistrements DKIM doit correspondre à votre architecture. Sur un serveur autonome, une génération locale aide à contrôler les clés. Sur une plateforme hébergée, publiez les TXT ou les enregistrements de délégation fournis et vérifiez la gestion de la rotation.

Si vous administrez le MTA, utilisez OpenSSL localement et protégez la privée comme un secret de production. Avec TrekMail, SES ou un autre prestataire, suivez les enregistrements fournis. N'utilisez pas les clés d'un formulaire inconnu pour faire disparaître un avertissement.

Un parcours d'authentification coordonné et vérifiable peut réduire les erreurs de manipulation sur chaque domaine. C'est utile avec plusieurs marques, domaines clients ou migrations. Avant de choisir un transfert, lisez transférer la messagerie d'un domaine vers Gmail, puis comparez les conditions sur les tarifs TrekMail.

Un générateur d'enregistrements DKIM ne devrait pas être une boîte noire, mais une étape maîtrisée dans une infrastructure que vous comprenez.