Comment vérifier le DKIM de mon domaine ?
Dernière vérification : 30 octobre 2026
Vérifier DKIM est différent de vérifier SPF ou DMARC : il n'existe aucun emplacement DNS fixe à interroger. L'enregistrement se publie sous "sélecteur._domainkey.votredomaine" (RFC 6376, section 3.6.2.1), où le sélecteur est choisi librement par celui qui configure l'envoi — souvent votre prestataire d'emailing. Sans connaître ce sélecteur à l'avance, aucune vérification DNS, automatisée ou manuelle, ne peut prouver l'absence de DKIM avec certitude : elle peut seulement confirmer sa présence sous un sélecteur donné, ou son absence parmi les sélecteurs testés. ScanMonSite teste automatiquement une liste de sélecteurs courants, avec cette même nuance.
Vérifiez la configuration email de votre domaine (SPF, DKIM, DMARC), en 30 secondes.
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Ce que le scan vérifie sur ce point :
- Recherche d'un enregistrement DKIM parmi une liste de sélecteurs courants (google, selector1, selector2, k1, k2, dkim, mail, default, smtp, s1, s2, mandrill, em)
- Si rien n'est trouvé parmi ces sélecteurs, le résultat est signalé comme non confirmé : le sélecteur réellement utilisé par votre prestataire peut différer de ceux testés, et cette absence de détection n'est pas une preuve que DKIM n'est pas configuré
Pourquoi DKIM n'a pas d'emplacement DNS fixe
SPF se publie toujours à la racine du domaine, DMARC toujours sous "_dmarc.votredomaine". DKIM, lui, se publie sous "sélecteur._domainkey.votredomaine" : le sélecteur est un nom arbitraire, choisi par celui qui configure l'envoi (RFC 6376, section 3.6.2.1). Deux domaines identiques peuvent utiliser des sélecteurs totalement différents selon leur prestataire.
Trouver votre sélecteur réel
- Consultez la documentation ou le tableau de bord de votre prestataire d'emailing (Google Workspace, Microsoft 365, votre hébergeur, service d'envoi tiers) : le sélecteur y est généralement affiché explicitement.
- Sinon, examinez l'en-tête "DKIM-Signature" d'un email réellement reçu depuis votre domaine (affichage de l'email "source" ou "original" dans votre client de messagerie) : le tag "s=" indique le sélecteur, le tag "d=" le domaine signataire (RFC 6376, section 3.5).
Vérifier manuellement une fois le sélecteur connu
- Sous Windows : nslookup -type=TXT selecteur._domainkey.example.com. Sous macOS ou Linux : dig TXT selecteur._domainkey.example.com +short.
- Remplacez "selecteur" par le sélecteur trouvé et "example.com" par votre domaine.
- Un enregistrement valide commence par "v=DKIM1" et contient un tag "p=" (la clé publique).
Vérifiez votre configuration email
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
La taille de clé recommandée
La RFC 6376 (section 3.3.3) impose aux signataires une clé RSA d'au moins 1024 bits pour une utilisation durable, et précise que les clés inférieures à 1024 bits sont exposées à des attaques hors ligne (cassage par calcul). 2048 bits est la taille couramment recommandée aujourd'hui par les prestataires d'emailing.
Pourquoi un scan ne peut jamais confirmer une absence totale de DKIM
Un sélecteur non deviné reste invisible par DNS, même si DKIM est parfaitement configuré. C'est pour cette raison que notre scanner présente une absence de détection comme non confirmée plutôt que comme une faille avérée, contrairement à SPF ou DMARC, qui ont un emplacement DNS fixe et vérifiable de façon exhaustive.
Sources
Questions fréquentes
Pourquoi un scanner ne peut-il pas garantir l'absence de DKIM ?
Parce que l'emplacement DNS de DKIM dépend d'un sélecteur arbitraire, choisi par celui qui configure l'envoi (RFC 6376, section 3.6.2.1). Un scan ne peut tester qu'une liste de sélecteurs courants : il confirme une présence s'il en trouve un, mais ne peut jamais prouver une absence totale.
Où trouver le sélecteur DKIM utilisé par mon prestataire d'emailing ?
Dans la documentation ou le tableau de bord de votre prestataire (Google Workspace, Microsoft 365, votre hébergeur, service d'envoi tiers), ou dans l'en-tête "DKIM-Signature" d'un email réellement reçu depuis votre domaine : le tag "s=" indique le sélecteur (RFC 6376, section 3.5).
Que signifie le tag "s=" dans un DKIM-Signature ?
C'est le sélecteur : il subdivise l'espace de noms sous le domaine signataire (tag "d=") pour pointer vers la clé publique exacte à utiliser (RFC 6376, section 3.5).
Quelle taille de clé DKIM dois-je utiliser ?
La RFC 6376 (section 3.3.3) impose au minimum 1024 bits pour une clé durable et précise que les clés plus courtes sont exposées à des attaques hors ligne. 2048 bits est la taille couramment recommandée aujourd'hui.
DKIM remplace-t-il SPF ?
Non, les deux vérifient des choses différentes : SPF authentifie le serveur d'envoi, DKIM garantit que le contenu du message n'a pas été modifié en chemin. Ils se complètent, et DMARC s'appuie sur les deux.
Puis-je avoir plusieurs sélecteurs DKIM actifs en même temps ?
Oui. Chaque prestataire d'envoi utilise généralement son propre sélecteur, et une rotation de clés passe souvent par un nouveau sélecteur temporaire avant de retirer l'ancien.
Un enregistrement DKIM avec un tag "p=" vide, c'est quoi ?
C'est une révocation explicite : la RFC 6376 (section 3.6.1) précise qu'une valeur vide pour le tag "p=" signifie que la clé publique correspondante a été révoquée. Toute signature utilisant ce sélecteur échoue alors systématiquement, sans qu'il soit nécessaire de supprimer l'enregistrement DNS.
Pour aller plus loin
Vérifiez votre configuration email
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Votre site est déjà touché ? Demandez un devis de réparation.