La rotation des clés DKIM consiste à remplacer la paire de clés qui signe vos e-mails, selon un calendrier ou après un problème de sécurité, sans casser l'authentification. Cela paraît risqué, car un faux pas fait échouer des e-mails légitimes, mais la conception de DKIM rend l'opération simple : les sélecteurs permettent de publier une nouvelle clé à côté de l'ancienne, de basculer la signature et de retirer l'ancienne clé plus tard. Ce guide explique le fonctionnement et propose un plan pas à pas.
Comment fonctionnent la signature DKIM et les sélecteurs
Lorsque votre plateforme envoie un message, elle crée une signature à l'aide d'une clé privée et l'ajoute aux en-têtes. La signature mentionne le domaine signataire, noté d=, et un sélecteur, noté s=. Le destinataire construit un nom DNS à partir de ces deux éléments, selector._domainkey.domain, récupère la clé publique qui y est publiée et vérifie la signature. Si la clé correspond et que les parties signées du message sont inchangées, DKIM réussit.
DKIM-Signature: v=1; a=rsa-sha256; d=mail.example.com; s=2026a;
h=from:to:subject:date:message-id; bh=...; b=...Dans cet exemple, le sélecteur est 2026a ; le destinataire interroge donc 2026a._domainkey.mail.example.com. Comme le sélecteur n'est qu'une étiquette de votre choix, vous pouvez en publier plusieurs à la fois. C'est tout le principe de la rotation : l'ancien sélecteur continue de valider les anciens e-mails pendant que le nouveau signe les nouveaux.
Pourquoi faire une rotation
- Limiter l'exposition. Une clé privée qui existe depuis des années a été vue par davantage de systèmes et de personnes. La rotation limite la valeur de toute fuite passée.
- Réagir aux changements de personnel. Si un administrateur ayant eu accès à la clé part, la remplacer supprime un risque persistant.
- Passer à des clés plus robustes. De nombreux domaines anciens publient encore des clés de 1024 bits. La rotation est le moment naturel pour monter en gamme.
- Respecter une politique. Les audits de sécurité et certains questionnaires clients demandent à quelle fréquence les clés changent.
- Garder le processus rodé. Une équipe qui fait une rotation deux fois par an gère calmement une rotation d'urgence.
La rotation n'est pas un outil de délivrabilité. Changer de clés n'améliore pas à lui seul le placement en boîte de réception. Son but est la sécurité et l'hygiène. Faites-la avec soin pour ne pas nuire à la livraison, et n'attendez pas de gain de réputation.
Choisir une longueur de clé
La norme DKIM fixe 1024 bits comme minimum pour les signataires et recommande 2048 bits. Les vérificateurs ne sont pas tenus d'accepter quoi que ce soit en dessous de 1024 bits. Pour la plupart des expéditeurs, le choix raisonnable aujourd'hui est le RSA 2048 bits, qui offre une marge confortable sans coût de performance important.
| Longueur de clé | Position | Remarque pratique |
|---|---|---|
| 512 bits | Inacceptable | Considérée comme cassée et rejetée par les destinataires modernes |
| 1024 bits | Minimum autorisé, encore courant | Fonctionne, mais passez à mieux lors de la prochaine rotation |
| 2048 bits | Recommandée | Nécessite une valeur TXT découpée en plusieurs chaînes ou un CNAME |
| 4096 bits | Autorisée par la norme | Rarement nécessaire, et l'enregistrement peut dépasser les limites pratiques de taille DNS |
La limite de 255 caractères
Une chaîne unique dans un enregistrement TXT peut contenir au maximum 255 caractères, et une clé publique de 2048 bits est plus longue. L'enregistrement contient donc plusieurs chaînes entre guillemets, que le destinataire assemble. La plupart des fournisseurs DNS gèrent cela lorsque vous collez une longue valeur. Si le vôtre ne le fait pas, découpez-la manuellement ou demandez à votre plateforme d'envoi une option CNAME.
2026a._domainkey.mail.example.com. TXT ( "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC..."
"...rest of the public key..." )Avant de commencer : deux modèles de gestion des clés
| Modèle | Fonctionnement | Ce que vous faites pour la rotation |
|---|---|---|
| Géré par la plateforme (CNAME) | Vous publiez un CNAME de votre sélecteur vers un nom contrôlé par la plateforme, qui change la clé derrière | Presque rien ; confirmez le calendrier et que le CNAME reste en place |
| Géré par le client (TXT) | Vous publiez vous-même la clé publique, et la plateforme signe avec la clé privée que vous avez fournie ou qu'elle a générée | Suivez le plan complet ci-dessous |
| Signature auto-hébergée | Votre propre serveur de messagerie signe, et vous détenez la clé privée | Générez les clés, mettez à jour la configuration du serveur et le DNS |
Un plan de rotation sûr
- Inventoriez les sélecteurs. Listez chaque sélecteur publié sous _domainkey pour le domaine, et identifiez quel système utilise chacun. Les sélecteurs inconnus sont déjà une découverte en soi ; ne les supprimez pas avant de savoir qui signe avec eux.
- Choisissez une convention de nommage. Utilisez des sélecteurs qui comportent une date ou un numéro de séquence, comme 2026a et 2027a, pour distinguer les clés d'un coup d'œil.
- Générez la nouvelle clé. Créez une paire de clés de 2048 bits, ou demandez à votre plateforme d'en émettre une. Stockez la clé privée uniquement là où le système de signature en a besoin.
- Publiez la nouvelle clé publique. Ajoutez l'enregistrement du nouveau sélecteur. Ne touchez pas à l'ancien. Vérifiez qu'il se résout depuis l'extérieur de votre réseau.
- Testez avant de basculer. Signez un message de test avec le nouveau sélecteur et vérifiez que DKIM réussit dans les en-têtes reçus.
- Basculez la signature. Modifiez la configuration de signature pour utiliser le nouveau sélecteur pour tous les nouveaux messages. À partir de ce moment, l'ancienne clé ne signe plus rien de nouveau.
- Surveillez. Suivez les rapports agrégés DMARC et les données de rebonds pour détecter un pic d'échecs DKIM dans les jours qui suivent.
- Attendez les retardataires. Gardez l'ancien enregistrement publié pendant au moins plusieurs jours. Les messages en file d'attente, renvoyés ou réacheminés sont vérifiés au moment de leur traitement, et non de leur envoi.
- Retirez l'ancienne clé. Supprimez l'ancien enregistrement de sélecteur et effacez l'ancienne clé privée de tous les systèmes qui la détenaient.
- Consignez la rotation. Notez dans votre procédure la date, le nouveau sélecteur et la date de la prochaine rotation.
Combien de temps conserver l'ancienne clé
L'ancienne clé publique doit rester dans le DNS jusqu'à ce qu'aucun message signé avec elle ne puisse encore être en transit ou en attente de vérification. Pour les e-mails transactionnels et marketing ordinaires, quelques jours suffisent. Si vous envoyez via des listes de diffusion ou des services de réacheminement qui retiennent les messages, ou si votre calendrier de nouvelles tentatives est long, attendez plus longtemps. Garder une ancienne clé publiée un peu trop longtemps ne coûte rien. La retirer trop tôt provoque des échecs difficiles à diagnostiquer.
Ce qui peut mal tourner, et comment le repérer
| Problème | Signe | Solution |
|---|---|---|
| Sélecteur non concordant | DKIM échoue avec « clé introuvable » | Comparez la valeur s= de la signature avec le nom DNS |
| Clé publique tronquée | DKIM échoue avec « clé invalide » ou non-concordance de signature | Recollez la clé et vérifiez que toutes les parties de chaîne sont présentes |
| Ancienne clé retirée trop tôt | Échecs uniquement sur les messages retardés | Rétablissez l'ancien enregistrement et attendez plus longtemps la prochaine fois |
| Signature non basculée | Le nouveau sélecteur n'apparaît jamais dans les en-têtes | Vérifiez la configuration de signature et les paramètres éventuellement en cache |
| Deux systèmes partagent un sélecteur | Échecs intermittents après la rotation d'un des systèmes | Donnez à chaque système son propre sélecteur |
| CNAME supprimé lors d'un nettoyage | DKIM échoue soudain partout pour une clé gérée par la plateforme | Rétablissez le CNAME exactement comme fourni |
Confirmer le succès grâce aux rapports
Les rapports agrégés DMARC indiquent, pour chaque source d'envoi, combien de messages ont réussi ou échoué à DKIM et SPF. Consultez-les dans les jours qui suivent la rotation. Une rotation propre montre l'apparition du nouveau sélecteur et un nombre d'échecs stable. Si les échecs augmentent pour une source, elle signe probablement encore avec une clé qui n'est plus publiée. Notre guide sur les rapports agrégés DMARC explique comment les lire.
Rotation d'urgence
Si vous soupçonnez qu'une clé privée a été exposée, faites la rotation immédiatement et raccourcissez la période de chevauchement. Publiez et basculez vers une nouvelle clé aussi vite que vous pouvez le faire en sécurité, puis retirez la clé compromise, même si certains messages retardés risquent d'échouer. Un attaquant détenant l'ancienne clé privée pourrait signer de faux e-mails qui réussissent DKIM pour votre domaine tant que la clé publique reste publiée ; la durée d'exposition compte donc plus que la perte de quelques messages retardés. Un DMARC appliqué avec une politique reject limite ce que ces faux messages peuvent faire, mais la clé doit tout de même être retirée rapidement.
Faire de la rotation une routine
- Placez la date de rotation dans un calendrier partagé, avec un responsable nommé.
- Tenez un tableau des sélecteurs, des systèmes qui les utilisent et de leurs dates de création.
- Utilisez un sélecteur dédié pour chaque système d'envoi.
- Configurez une alerte sur les taux d'échec DKIM, afin qu'une rotation défaillante soit détectée en quelques heures.
- Entraînez-vous d'abord sur un sous-domaine à faible risque si le processus est nouveau pour votre équipe.
Besoin d'aide pour planifier une rotation ? Indiquez-nous les domaines et les systèmes d'envoi que vous utilisez, et nous vous proposerons un ordre d'exécution sûr.
Lectures complémentaires et sources
Questions fréquentes
Qu'est-ce qu'un sélecteur DKIM ?
Un sélecteur est une étiquette qui indique aux destinataires quelle clé publique récupérer. La signature mentionne un sélecteur et un domaine, et le destinataire interroge un enregistrement DNS à l'adresse selector._domainkey.domain. Comme le sélecteur fait partie du nom, un même domaine peut publier plusieurs clés à la fois, ce qui rend la rotation sûre.
À quelle fréquence dois-je faire la rotation des clés DKIM ?
Il n'existe pas d'intervalle unique obligatoire. De nombreuses organisations effectuent la rotation une ou deux fois par an, ou dès qu'une personne ayant accès à la clé privée quitte l'entreprise ou qu'une compromission est soupçonnée. Choisissez un calendrier que vous respecterez réellement, et faites la rotation plus tôt si vous soupçonnez qu'une clé a été exposée.
Quelle longueur de clé DKIM dois-je utiliser ?
Utilisez du RSA 2048 bits lorsque votre fournisseur DNS et votre système d'envoi le prennent en charge. La norme DKIM impose aux signataires d'utiliser au moins 1024 bits et recommande 2048, et les vérificateurs ne doivent pas accepter de clés inférieures à 1024 bits. Des clés plus longues offrent plus de marge à mesure que la puissance de calcul augmente.
Pourquoi ma clé de 2048 bits est-elle refusée par mon fournisseur DNS ?
Une clé publique de 2048 bits dépasse 255 caractères, limite d'une chaîne unique dans un enregistrement TXT. Elle doit être découpée en plusieurs chaînes entre guillemets que le destinataire assemble. De nombreux fournisseurs le font automatiquement ; si le vôtre ne le fait pas, découpez-la à la main ou utilisez un CNAME vers l'enregistrement hébergé par la plateforme.
Puis-je supprimer l'ancienne clé juste après la bascule ?
Pas sans risque. Les messages peuvent être retardés dans des files d'attente ou renvoyés pendant plusieurs jours, et les destinataires vérifient la signature au moment où ils traitent le message. Gardez l'ancien enregistrement publié pendant au moins plusieurs jours, et plus longtemps si vous envoyez via des circuits de réacheminement lents.
Que se passe-t-il si je supprime une clé encore utilisée ?
Les messages signés avec ce sélecteur échouent à la vérification DKIM. Si le SPF est aligné, DMARC peut encore réussir, mais si le SPF n'est pas aligné, le message peut être mis en quarantaine ou rejeté sous une politique DMARC appliquée. C'est pourquoi on bascule d'abord la signature et on retire l'ancienne clé plus tard.
Ma plateforme d'envoi effectue-t-elle la rotation des clés à ma place ?
Certaines plateformes gèrent les clés DKIM et les publient via un CNAME que vous configurez une seule fois, de sorte que la rotation se fait de leur côté. D'autres vous fournissent un enregistrement statique que vous devez remplacer. Vérifiez quel modèle votre plateforme utilise avant de planifier une rotation.
Les différents flux d'e-mails doivent-ils utiliser des sélecteurs différents ?
Oui, c'est une bonne pratique. Des sélecteurs distincts pour le transactionnel, le marketing et les systèmes internes permettent de faire la rotation de l'un ou de le révoquer sans affecter les autres, et ils rendent l'analyse des en-têtes plus claire.
Puis-je tester une clé avant d'y basculer ?
Oui. Publiez d'abord le nouvel enregistrement, vérifiez qu'il se résout, puis envoyez des messages de test signés avec le nouveau sélecteur vers une boîte que vous contrôlez et vérifiez dans les en-têtes que DKIM réussit avant de basculer tout le trafic.