DKIM

DKIM (DomainKeys Identified Mail) est un standard d'authentification d'email défini par la RFC 6376. Le système d'envoi signe chaque message sortant avec une clé cryptographique privée ; un en-tête nommé DKIM-Signature embarque la signature, l'algorithme et un pointeur vers la clé publique. Le serveur récepteur récupère la clé publique dans le DNS et vérifie que la signature correspond au corps du message et aux en-têtes listés — prouvant à la fois que le message provient d'un serveur détenteur de la clé privée et que les portions signées n'ont pas été altérées en transit.

La clé publique vit à {selector}._domainkey.{domain} sous forme d'enregistrement TXT. Les selectors sont des identifiants arbitraires — typiquement s1, s2, mail, ou des noms spécifiques au vendor comme amazonses. Les selectors permettent la rotation des clés : on publie une nouvelle clé sous un selector frais, on bascule le signer sur ce nouveau selector, on laisse l'ancienne clé dans le DNS le temps que les messages signés en cours de route soient drainés, puis on supprime l'ancien enregistrement TXT. La rotation relève de l'hygiène de base — la plupart des ESP rotent au moins une fois par an et à la moindre suspicion de compromission.

Pour les envois adossés à un vendor (Amazon SES, Mailgun, SendGrid, SparkPost — tous drivers intégrés sous app/SendingServers/Drivers/Vendors/), DKIM est signé par le vendor. Le travail de l'opérateur consiste à publier les enregistrements CNAME ou TXT fournis par le vendor sur son domaine d'envoi. Pour le driver SMTP générique, la signature DKIM est assurée par le MTA en amont (milter opendkim de Postfix, signer intégré de Postal, etc.) — AcelleMail ne signe pas DKIM lui-même.

Le walkthrough complet d'installation — à quoi ressemblent les enregistrements pour les principaux vendors et comment vérifier la signature — est dans le guide pillar de délivrabilité.

SPF authentifie l'adresse IP ; DKIM authentifie le message lui-même. Un email transféré qui casse SPF (parce qu'il provient désormais des IP du relayeur) passe en général toujours DKIM (la signature couvre le corps, pas le chemin). DMARC vient alors aligner l'un ou les deux signaux face à l'en-tête From: visible. Les trois couches se composent — la délivrabilité moderne suppose que vous publiez les trois.