Configurer DKIM une fois ne suffit pas à garantir que chaque email envoyé depuis votre domaine reste correctement signé dans la durée. Un changement de serveur d'envoi, une nouvelle application connectée à votre messagerie, ou une modification de configuration peut briser cette signature sans avertissement visible, jusqu'à ce que vos emails commencent à arriver moins bien chez vos destinataires.
Ce que fait réellement la signature DKIM
DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique à chaque email sortant, générée à partir d'une clé privée associée à votre domaine. Le serveur de messagerie du destinataire vérifie cette signature à l'aide d'une clé publique publiée dans votre zone DNS. Si la signature correspond, l'email est confirmé comme n'ayant pas été modifié en chemin et comme provenant réellement d'un serveur autorisé pour votre domaine.
Comment vérifier concrètement qu'un email est bien signé
Plusieurs méthodes simples permettent de contrôler la signature DKIM sans compétence technique avancée :
- Afficher l'en-tête complet (« source » ou « en-tête original ») d'un email reçu depuis votre propre domaine, et chercher la ligne « DKIM-Signature » qui doit être présente.
- Utiliser un service en ligne dédié qui analyse automatiquement un email envoyé à une adresse de test, et confirme si la signature DKIM est valide ou absente.
- Consulter les outils de diagnostic proposés par certains webmails ou clients de messagerie, qui affichent directement un résumé de validation SPF, DKIM et DMARC pour chaque email reçu.
Les situations qui cassent une signature DKIM sans le signaler
Certains changements, parfois anodins en apparence, désactivent la signature DKIM sans provoquer d'erreur immédiate visible :
- Un changement de fournisseur ou de serveur d'envoi sans mise à jour de l'enregistrement DKIM correspondant dans la zone DNS.
- Une application tierce (outil marketing, logiciel de facturation) qui envoie des emails « au nom de » votre domaine sans être configurée pour utiliser votre propre signature DKIM.
- Une modification du contenu de l'email en cours de transit par un serveur intermédiaire, par exemple un ajout automatique de signature ou de bannière qui invalide la signature déjà appliquée.
Pourquoi cette vérification mérite un contrôle régulier
Une signature DKIM cassée ne bloque pas immédiatement l'envoi des emails : ils continuent de partir, mais sans cette preuve d'authenticité, ce qui augmente progressivement le risque qu'ils soient classés comme suspects par les filtres anti-spam des destinataires. Ce type de dégradation progressive, invisible sans vérification active, explique pourquoi un contrôle périodique reste plus fiable qu'une configuration faite une fois puis jamais revérifiée.
Le lien entre DKIM et la réputation globale du domaine
Une signature DKIM valide ne suffit pas isolément à garantir une bonne délivrabilité si la réputation générale du domaine s'est dégradée pour d'autres raisons, par exemple un volume d'envoi soudainement élevé ou un taux anormal de messages signalés comme indésirables par les destinataires. La réputation du domaine se construit dans la durée, et DKIM en reste un pilier parmi d'autres plutôt qu'une garantie suffisante à elle seule pour assurer que chaque email arrive correctement en boîte de réception.
Surveiller cette réputation dans le temps, via les outils de suivi proposés par certains fournisseurs de messagerie, permet de repérer une dégradation progressive avant qu'elle n'affecte significativement la délivrabilité de l'ensemble des communications envoyées depuis le domaine.
Faut-il une signature DKIM distincte pour chaque service qui envoie des emails depuis mon domaine ?
Dans l'idéal oui, ou au minimum une configuration qui autorise explicitement chaque service légitime (boîte mail principale, outil d'envoi marketing, logiciel de facturation) à signer en votre nom, plutôt qu'une seule signature partagée sans distinction entre les sources.
DKIM seul suffit-il à garantir que mes emails arrivent en boîte de réception ?
Non, DKIM reste un élément parmi d'autres (avec SPF et DMARC) qui contribuent ensemble à la délivrabilité. La réputation générale de votre domaine d'envoi et la qualité du contenu de l'email jouent également un rôle dans la décision finale des filtres anti-spam du destinataire.
Vérifier régulièrement la signature DKIM de votre domaine protège la crédibilité de l'ensemble de vos communications professionnelles. VSP TECH configure cette signature par défaut sur ses offres d'email professionnel et d'email entreprise, et notre support peut diagnostiquer une signature cassée sur demande via un ticket.
