Comment vérifier que DKIM est configuré après un changement de fournisseur email

Après un changement, vérifiez que chaque domaine d'envoi publie la clé DKIM du nouveau fournisseur, sous le sélecteur avec lequel ce fournisseur signe. Saisissez ce sélecteur dans le vérificateur DKIM en masse et collez tous vos domaines : chaque ligne indique si la clé est présente, sa longueur et toute erreur, comme un CNAME qui ne pointe vers rien.

Vérifier DKIM sur une liste de domaines →

Les vérifier en masse

1. Ouvrez le vérificateur DKIM en masse.
2. Collez les domaines d'envoi, un par ligne : jusqu'à 100 par passage, ou 500 après une connexion Google gratuite.
3. Saisissez le sélecteur du nouveau fournisseur : google pour Google Workspace, selector1, selector2 pour Microsoft 365, ou celui que votre ESP affiche sur sa page de configuration DNS. Jusqu'à trois, séparés par des virgules. Laissez le champ vide pour essayer 22 sélecteurs courants.
4. Cliquez sur Check DKIM (vérifier DKIM).
5. Lisez chaque ligne : Key found, Weak key, Testing, Revoked, Broken, CNAME to nothing ou No key found. Téléchargez le CSV.

Le faire à la main

printf "github.com\nstripe.com\nnotion.so\n" > domains.txt
sel=google

while read -r d; do
  key=$(dig +short txt "$sel._domainkey.$d" | grep -v '\.$' | tr -d '" \n')
  if [ -z "$key" ]; then echo "$d,$sel,NO KEY"; continue; fi
  bits=$(echo "$key" | sed 's/.*p=//; s/;.*//' | base64 -d 2>/dev/null \
    | openssl pkey -pubin -inform DER -noout -text 2>/dev/null | sed -n 's/.*(\([0-9]*\) bit).*/\1/p')
  echo "$d,$sel,${bits:-unreadable} bit"
done < domains.txt
# github.com,google,2048 bit
# stripe.com,google,1024 bit
# notion.so,google,NO KEY

Nous avons lancé cette commande le 9 novembre 2026. grep -v '\.$' écarte la ligne CNAME que dig affiche quand le sélecteur est délégué, pour que seule la clé soit décodée. NO KEY pour notion.so signifie seulement que ce domaine ne publie rien sous le sélecteur google ; il peut signer avec un autre.

Les sélecteurs qui pointent vers un fournisseur apparaissent comme des CNAME :

dig +short cname s1._domainkey.github.com
# s1.domainkey.u51742174.wl175.sendgrid.net.

Les étapes qu'on oublie après un changement

• Activer la signature. La page Set up DKIM de Google vous fait d'abord ajouter l'enregistrement DNS, puis cliquer sur Start Authentication plus tard, et indique que cela peut prendre jusqu'à 48 heures pour commencer à fonctionner. Microsoft 365 vous fait publier les CNAME, puis activer la signature ; voir le guide DKIM de Microsoft.
• La bonne cible Microsoft. Le guide de Microsoft indique que les domaines personnalisés ajoutés depuis mai 2025 reçoivent des cibles CNAME se terminant par dkim.mail.microsoft, tandis que les domaines existants gardent l'ancien format onmicrosoft.com, et que les deux ne peuvent pas coexister pour le même sélecteur. Copiez les valeurs que vous donne le portail Defender, pas celles d'une ancienne configuration.
• La longueur de clé. La RFC 8301 indique que les signataires "MUST use RSA keys of at least 1024 bits" (doivent utiliser des clés RSA d'au moins 1024 bits) et "SHOULD use RSA keys of at least 2048 bits" (devraient utiliser des clés RSA d'au moins 2048 bits). La page de Google conseille de choisir 2048 si votre hébergeur DNS le permet.
• Le sélecteur de l'ancien fournisseur. Laissez-le en place jusqu'à ce que l'ancien fournisseur ait cessé d'envoyer, pour que les messages encore en transit soient vérifiés. Ensuite, supprimez-le ou publiez-le vide (p=), ce que la RFC 6376 définit comme une clé révoquée.
• La preuve par un vrai message. Envoyez-vous un message et lisez l'en-tête DKIM-Signature : s= est le sélecteur, d= le domaine signataire. Si d= est le domaine du fournisseur plutôt que le vôtre, DKIM ne sera pas aligné pour DMARC.

Pour la configuration par fournisseur, voir la configuration DKIM de Google Workspace, la configuration DKIM de Microsoft 365 et DKIM pour chaque service qui envoie au nom de votre domaine.

Étape suivante : vérifier la liste avant le premier envoi

Un changement de fournisseur est le moment où les vieux problèmes de liste apparaissent : la nouvelle plateforme vous juge sur vos premiers envois. Importez la liste sur /verify pour vérifier chaque boîte sans rien envoyer. Les 100 premières vérifications sont gratuites avec une connexion Google, sans carte.

Pro, 39 $ par mois : vérification d'emails illimitée.* Jamais décomptée, jamais coupée. Voir les tarifs.

*Usage raisonnable : les 100 000 premières vérifications du mois à pleine vitesse, puis plus lentement, jamais coupées.

À lire aussi : délivrabilité en baisse après un changement d'ESP, vous changez de plateforme email ? vérifiez d'abord la liste.