DKIM échoue lorsque le destinataire ne peut pas vérifier la signature du message par rapport à la clé publique de votre DNS. Les causes habituelles sont un sélecteur manquant ou erroné, une clé publique révoquée (vide), la modification du corps en transit (p. ex. par une liste de diffusion), ou un domaine signataire qui ne s’aligne pas avec votre domaine De:. Chacune a une solution précise.
Les clés DKIM se trouvent à {sélecteur}._domainkey.votredomaine.com. Le sélecteur est choisi par votre plateforme d’envoi (p. ex. google pour Google Workspace, selector1/selector2 pour Microsoft 365). Si vous vérifiez le mauvais sélecteur, vous verrez un faux échec.
Pas d’enregistrement / mauvais sélecteur : publiez l’enregistrement TXT exact de votre fournisseur au sélecteur exact. Clé révoquée (p= vide) : la clé a été remplacée ou désactivée ; réactivez DKIM et republiez. Corps modifié : un redirecteur ou un pied de liste a changé le message après la signature ; appuyez-vous sur l’alignement DMARC+DKIM. Non aligné : le domaine signataire doit correspondre à votre domaine De: (ou en être un sous-domaine) pour que DMARC passe.
Sur un e-mail reçu, ouvrez les en-têtes et lisez la ligne DKIM-Signature : d= est le domaine signataire et s= le sélecteur. Vous savez ainsi exactement quelle clé rechercher.
Remplacez google par votre sélecteur :
$ dig TXT google._domainkey.yourdomain.com +shortVérifiez votre enregistrement DKIM maintenant
Ouvrir le vérificateur DKIM gratuit →Regardez les en-têtes d’un e-mail reçu pour d= et s= dans la ligne DKIM-Signature, ou la page DKIM de votre plateforme d’envoi. La valeur s= est le sélecteur.
La clé publique a été révoquée. L’enregistrement du sélecteur existe mais ne porte aucune clé, donc toute signature échoue. Régénérez/activez la clé chez votre fournisseur.
