Vérifier la signature DKIM d’un email envoyé par votre site

Votre outil d’envoi annonce que le domaine est configuré : vérifiez maintenant un vrai message issu du site. L’annonce de Cloudflare Email Service en avril 2026 fournit le point de départ ; ce contrôle reste utile quel que soit votre prestataire.

1. Produire un message représentatif

Choisissez un parcours précis : confirmation d’inscription, formulaire de contact ou notification de commande. Utilisez un compte de test et une boîte externe que vous contrôlez. Notez l’action effectuée et l’heure, puis ouvrez les en-têtes complets du message reçu. Dans Gmail, l’option s’appelle « Afficher l’original ».

DKIM repose sur une signature ajoutée par le service d’envoi et une clé publique publiée dans le DNS. Dans DKIM-Signature, relevez d=, le domaine de signature, et s=, le sélecteur. Ces deux valeurs permettent de construire le nom à interroger.

Gardez une fiche par parcours testé. Si le site utilise plusieurs outils, commencez par celui dont vous cherchez à valider la configuration. Cela évite de présenter au support un message envoyé par un autre service.

2. Relier le sélecteur au DNS

Pour un exemple fictif avec d=example.com et s=site1, la recherche porte sur site1._domainkey.example.com. Exécutez cette commande depuis un terminal disposant de dig, en adaptant les deux valeurs :

Comparez la réponse avec les instructions de votre prestataire. S’il vous a fourni une cible CNAME, vérifiez aussi cet enregistrement :

La clé publiée est publique ; la clé privée reste du côté du signataire. Ne cherchez pas à créer une clé improvisée pour faire disparaître un avertissement.

Consignez le nom interrogé, le type attendu et le résultat obtenu. Si le nom diffère de celui fourni par le prestataire, faites résoudre cet écart avant de modifier un autre enregistrement. Conservez la configuration existante dans votre fiche.

3. Comparer le résultat avant et après correction

Faites examiner le résultat de vérification DKIM du destinataire, en complément de la présence du DNS. Une clé visible ne prouve pas à elle seule que votre parcours d’envoi a produit une signature valide.

Si la signature manque, fournissez au support le parcours utilisé et les en-têtes du test. Si elle est présente mais échoue, ajoutez les valeurs d= et s= ainsi que le résultat DNS. Demandez une correction ciblée sur ce service.

Après intervention, déclenchez le même parcours avec un nouvel objet reconnaissable. Archivez le résultat du nouveau test à côté du précédent et faites confirmer la résolution. Pour un site utilisant plusieurs expéditeurs, répétez ensuite la procédure séparément pour chacun : vous disposerez d’une preuve de contrôle par chemin d’envoi.

Sources : Cloudflare Blog, Cloudflare — DKIM.