Vérificateur DKIM

Une signature DKIM prouve qu'un message a été envoyé par quelqu'un qui détient votre clé et n'a pas été modifié en cours de route. La signature n'a de valeur que si la clé publique qui la vérifie est publiée là où les destinataires la regarderont. Entrez votre domaine et votre sélecteur et voyez si cet enregistrement est là et ce qu'il dit.

Qu'est-ce qu'un enregistrement DKIM, en un seul paragraphe

Lorsque votre système de messagerie envoie un message, il le signe avec une clé privée et ajoute un en-tête DKIM-Signature qui nomme le domaine et un sélecteur. Le serveur de réception prend ces deux noms, recherche le TXTenregistrez à selector._domainkey.yourdomain et utilisez la clé publique qui s'y trouve pour vérifier la signature. Ce vérificateur inspecte la clé DNS publiée et ses balises ; il ne vérifie pas la signature d'un e-mail particulier ni ne prouve que chaque flux de courrier utilise ce sélecteur.

Cinq raisons de vérifier votre propre enregistrement DKIM

Découvrez si la clé est réellement publiée

Les fournisseurs de messagerie vous demandent d'ajouter un enregistrement DKIM, et il est facile de l'ajouter dans leau mauvais endroit : sous un mauvais nom, sur le mauvais domaine ou sur une zone DNS que le domaine n'utilise plus. La page de configuration indique « terminé » et les signatures échouent toujours, car l'enregistrement demandé par le destinataire n'est pas là.

Le sélecteur est le seul nom que vous ne pouvez pas deviner

Un domaine peut avoir plusieurs clés DKIM à la fois : une par fournisseur, une par flux de messagerie, une par an. Le sélecteur indique au destinataire lequel récupérer, et il est défini par celui qui a configuré votre courrier. Il se trouve dans l'en-tête DKIM-Signature de tout message que vous envoyez, sous la forme s=. Vérifier le mauvais sélecteur ne trouve rien, c'est pourquoi cette page le demande.

Une clé révoquée ou vide ressemble à une clé manquante

Un enregistrement avec une valeur p= vide est une clé quia été volontairement révoqué. C'est correct lorsque vous avez retiré un fournisseur, et c'est un bug lorsqu'il s'agit de l'enregistrement avec lequel votre fournisseur actuel signe. Voir le dossier exactement tel qu’il a été publié est ce qui sépare les deux.

Les anciennes clés survivent aux fournisseurs qui les utilisaient

Chaque outil de messagerie que vous avez essayé a laissé un sélecteur derrière lui. Certains sont toujours publiés, toujours valables et ne sont plus utilisés par quiconque travaille avec vous. Une clé que personne ne fait tourner est une clé dont lela moitié a eu des années de fuite, et un autre endroit où vos enregistrements sont discrètement en désaccord avec votre configuration de messagerie.

DKIM est la moitié de DMARC qui survit au transfert

SPF se brise au moment où un message est transféré. DKIM ne le fait généralement pas, car la signature voyage avec le message. C'est pourquoi une politique DMARC qui insiste sur son application nécessite un enregistrement DKIM qui fonctionne réellement.

Sachez le jour où votre enregistrement change

Clés DKIMsont alternés, remplacés et supprimés par celui qui gère la plateforme de messagerie, et la modification atteint le DNS quelques minutes plus tard.

Les analyses programmées transforment cela en une différence dont on vous parle : ce sélecteur a disparu, cet enregistrement a changé, cette note a chuté. Les alertes arrivent dans l'application, par e-mail ou via Slack, Teams, Jira ou un webhook.

Étape 01 · Nommez le domaine

Un domaine que vous contrôlez, ajouté à votre compte AYAsec. La propriété est vérifiée avant l'envoi de quoi que ce soit : AYAsec ne planifiera pas d'analyses sur l'infrastructure dont vous n'avez pas démontré le contrôle et pour prouver qu'il faut un enregistrement DNS. La vérification rapide ci-dessus ignore ceci : pas de compte, pas de vérification, juste une limitation du débit IP et une règle selon laquelle la cible doit être une adresse publique.

Étape 02 · Laissezle cycle de contrôle

Les enregistrements DKIM sont publics, ils sont donc lus plutôt que sondés. Il recherche l'enregistrement comme le ferait un serveur de messagerie de réception.

Étape 03 · Lire le résultat

Les résultats arrivent classés par gravité et notés de A+ à F, à côté des autres enregistrements DNS appartenant à la même configuration de messagerie.

De quoi cela fait partie

DKIM est l'un des nombreux enregistrements liés au courrier qu'AYAsec vérifie dans le cadre de son analyse DNS, aux côtés de SPF,DMARC, MTA-STS, TLS-RPT et DNSSEC. Il s'agit d'une analyse, et cette page ne représente qu'une partie de ce qu'elle examine.

DNS porte 20 % de la note composite. Les autres sont HTTP à 30 %, TLS et ports à 20 % chacun et la crédibilité du domaine à 10 %. Tous ensemble, c'est ce qui surface d'attaquegestion signifie en pratique.

Questions avant de vérifier

Que puis-je vérifier ?

Infrastructure que vous possédez ou que vous êtes chargé de tester. La vérification rapide ci-dessus ne vérifie pas cela pour vous - elle limite uniquement le débit par IP et refuse de cibler autre chose qu'une adresse publique. Ajoutez plutôt le domaine à un compte AYAsec et le contrôle est vérifié avant toute exécution planifiée : une limite légale autant que pratique, puisqu'une analyse non vérifiée ne vous est d'aucune utilité comme preuve non plus.

Comment trouver mon sélecteur ?

Envoyez un message depuis lesystème que vous souhaitez vérifier dans une boîte aux lettres que vous contrôlez, ouvrez les en-têtes complets et recherchez la ligne DKIM-Signature. La valeur après s= est le sélecteur et la valeur après d= est le domaine pour lequel il signe. De nombreux fournisseurs utilisent des noms fixes tels que google ou selector1.

L'enregistrement que je vois est un CNAME. Est-ce faux ?

Non. Plusieurs fournisseurs publient la clé sur leurs propres serveurs de noms et vous demandent de pointer votre sélecteur dessus avec un CNAME. La clé est alorslisez ce nom et faites-le pivoter par le fournisseur.

Un sélecteur réussi signifie-t-il que mon courrier est signé ?

Cela signifie qu'une clé est publiée. Que chaque flux de courrier que vous envoyez signe réellement avec lui est une question qui relève du système d'envoi ; la façon de vérifier est de lire les en-têtes d'un message réel.

DKIM est-il suffisant à lui seul ?

Non. DKIM dit qui a signé un message ; il ne dit pas quoi faire lorsqu'il n'y a pas de signature valide. C'est le travail deDMARC, qui lie DKIM et SPF à l'adresse d'expédition visible.

Conservez-vous les résultats ?

Pas la vérification rapide ci-dessus - elle reste en mémoire pendant environ quinze minutes afin que vous puissiez la lire une fois, puis elle disparaît. Il s'agit d'un choix délibéré en matière de confidentialité, et non d'une limitation : personne d'autre que vous ne voit cette analyse et vous pouvez télécharger le résultat complet avant son expiration. Ajoutez plutôt le domaine à un compte AYAsec et chaque analyse est conservée - une série qui vous indique quelle modification l'a interrompu. La rétention dépend de votre plan.

Conservez l'historique, pas seulement lerésultat

Exécutez la vérification DNS complète sur vos propres domaines, selon un calendrier, avec chaque modification signalée à quiconque a besoin de la voir.

Commencer à numériser gratuitement Comparer les forfaits

Les autres dames

View all free security scanners

Vérificateur SPF – quels serveurs peuvent envoyer en tant que domaine ?

DMARC checker : qu'arrive-t-il aux e-mails dont la vérification échoue ?

Vérificateur de sécurité DNS

DNSSEC,les serveurs de noms et les enregistrements eux-mêmes

Données structurées à intégrer

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DKIM Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dkim-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

N'ajoutez pas de balisage FAQPage ou HowTo - Google a retiré les deux types de résultats.