Ce qu'est une paire de clés DKIM
DKIM (DomainKeys Identified Mail) est une façon pour ton serveur mail de signer cryptographiquement chaque message sortant, pour que les destinataires comme Gmail et Outlook puissent vérifier que le message vient vraiment de ton domaine et n'a pas été trafiqué en transit. Pour ça, ton serveur mail a besoin d'une paire de clés : une clé privée qui vit sur le serveur et signe chaque message, et une clé publique que tu publies comme enregistrement DNS TXT à `<selector>._domainkey.<ton-domaine>` pour que les destinataires puissent la récupérer.
Cet outil génère cette paire de clés pour toi dans ta requête navigateur, renvoie la clé privée encodée en PEM (que tu installes sur ton serveur mail) et l'enregistrement TXT prêt à coller (que tu publies en DNS). RSA, 1024 / 2048 / 4096 bits, généré avec le crypto intégré de Node (bindings OpenSSL sous le capot). On ne stocke jamais la clé.
Comment l'utiliser
- Choisis un selector : un court label comme `mail2024`, `s1`, ou `google`. Il identifie quelle clé a signé le message, donc un nouveau selector te permet de faire la rotation sans casser le vieux mail.
- Choisis une longueur de clé : 2048 bits est le défaut moderne. 1024 bits est legacy (toujours accepté mais découragé). 4096 bits est overkill pour presque tout le monde et ralentit le chemin de signature.
- Optionnel : entre ton domaine pour qu'on puisse t'afficher le nom DNS complet (`<selector>._domainkey.<ton-domaine>`). Sans lui, tu obtiens quand même le corps de l'enregistrement TXT.
- Clique sur Générer. On renvoie la clé privée en format PEM et la valeur de l'enregistrement TXT prête à coller dans ton panneau DNS.
- Sauvegarde la clé privée maintenant. On ne la stocke jamais. Fermer cet onglet la perd à jamais. Installe-la dans ton serveur mail (Postfix + opendkim, exim, MTA-STS, Mailgun, SendGrid, Postmark, ton propre SMTP) selon la doc de ton provider.
- Publie l'enregistrement TXT à `<selector>._domainkey.<ton-domaine>` dans ton DNS. Si ton provider limite une seule string TXT à 255 caractères (la plupart le font, c'est la limite RFC), utilise la forme splittée qu'on fournit : `"part1" "part2"` sur une ligne.
- Attends la propagation DNS (de quelques minutes à quelques heures), puis envoie un mail de test et vérifie les headers pour `dkim=pass`. Gmail l'affiche sous « Afficher l'original ».
Quand c'est utile
Six scénarios typiques où tu as besoin d'une nouvelle paire de clés DKIM :
- Configurer DKIM pour la première fois sur un nouveau domaine ou un nouveau serveur mail. Il te faut la paire de clés avant de pouvoir configurer chaque côté.
- Rotation de clés tous les 6 à 12 mois comme pratique d'hygiène de sécurité. Génère un nouveau selector, publie-le, bascule la clé de signature sur le serveur, puis retire l'ancien selector après une période de grâce.
- Suspicion de compromission de clé : si tu penses que la clé privée a fuité (brèche serveur, commit accidentel sur un dépôt public, ex-admin avec encore l'accès), génères-en une nouvelle immédiatement et révoque l'ancienne en vidant sa valeur `p=`.
- Ajouter une seconde source d'envoi (un provider transactionnel comme SendGrid à côté de ton propre Postfix). Chaque source veut typiquement son propre selector et sa propre clé.
- Passer d'une clé 1024 bits legacy à une clé 2048 bits moderne. La plupart des providers crient fort à ce sujet en 2026.
- Tester DKIM sur un domaine de staging avant de l'activer pour le mail de production.
Outils connexes : vérificateur DNS e-mail (vérifier ton enregistrement publié), lookup DNS, analyseur de header mail.