Con­fi­gu­rer le DKIM pour améliorer la mise à dis­po­si­tion des emails

Tous les serveurs de mes­sa­ge­rie tentent de bloquer les emails émis par de faux ex­pé­di­teurs. L’une des méthodes per­met­tant de vérifier l’au­then­ti­cité de l’ex­pé­di­teur est le DKIM (Do­main­Keys Iden­ti­fied Mail), un concept qui permet de signer nu­mé­ri­que­ment les emails.

Qu’est-ce que le DKIM ?

Le DKIM est fondé sur la com­mu­ni­ca­tion entre les serveurs de mes­sa­ge­rie ex­pé­di­teur et des­ti­na­taire, l’uti­li­sa­teur final ne remarque rien.

Pour faire simple, cela signifie que le serveur de mes­sa­ge­rie ex­pé­di­teur ajoute une signature numérique aux emails qu’il envoie. Cette signature est ensuite vérifiée par le serveur des­ti­na­taire. Pour ce faire, ce dernier récupère la clé publique cor­res­pon­dant à la signature du serveur de mes­sa­ge­rie déclaré comme ex­pé­di­teur. Dans certains cas, les motifs suivants peuvent expliquer une in­co­hé­rence entre la clé publique et la signature numérique:

• L’email n’a pas été envoyé à partir du serveur de mes­sa­ge­rie indiqué dans l’en-tête de l’email, mais à partir d’un serveur frau­du­leux inconnu.
• L’email a été modifié lors du transit entre le « vrai » serveur de mes­sa­ge­rie et le des­ti­na­taire. Ainsi, par exemple, un pirate in­for­ma­tique pourrait in­ter­cep­ter l’email, le modifier puis pour­suivre son envoi vers le des­ti­na­taire.

DKIM : comment ça fonc­tionne ?

Pour com­prendre le DKIM, il vaut la peine d’examiner les dif­fé­rents « com­po­sants » de son concept de base. Ci-dessous, nous avons résumé les trois éléments prin­ci­paux des en­re­gis­tre­ments DKIM.

Hashing (hachage)

Suivant un al­go­rithme défini, une chaîne de ca­rac­tères est calculée à partir du contenu de l’email. On l’appelle également la valeur de hachage. Elle est ajoutée à l’en-tête de l’email. Si la valeur de hachage ne cor­res­pond pas, le des­ti­na­taire peut avoir la certitude que l’email en question a été modifié.

Chif­fre­ment asy­mé­trique

Pour que le des­ti­na­taire puisse s’assurer que la valeur de hachage provient bien de l’ex­pé­di­teur d’origine, un autre élément est né­ces­saire : la signature numérique. Le chif­fre­ment asy­mé­trique est utilisé pour l’au­then­ti­fi­ca­tion de l’ex­pé­di­teur. Il se fonde sur une paire de clés : tout élément chiffré avec la clé A ne peut être déchiffré qu’avec la clé B. Une clé est gardée secrète (« clé privée »), l’autre est publiée (« clé publique »).

La procédure est la suivante :

1. L’ex­pé­di­teur chiffre la valeur de hachage calculée avec la clé privée.
2. Il ajoute la valeur de hachage chiffrée à l’en-tête de l’email sous forme de signature numérique.
3. Le des­ti­na­taire récupère la clé publique de l’ex­pé­di­teur sur le serveur de noms de domaine et déchiffre la signature.
4. Le des­ti­na­taire recalcule ensuite la valeur de hachage dé­chif­frée : si la valeur de hachage calculée cor­res­pond à la valeur de hachage dé­chif­frée, l’email est sûr.

En­re­gis­tre­ment TXT sur le serveur de noms

Pour que les serveurs de mes­sa­ge­rie des­ti­na­taires puissent récupérer la clé publique de l’ex­pé­di­teur, celle-ci doit être publiée sous la forme d’un en­re­gis­tre­ment TXT dans la zone DNS du domaine après la con­fi­gu­ra­tion DKIM.

L’en­re­gis­tre­ment DKIM contient donc les éléments suivants :

• La version, souvent encodée avec v=DKIM1.
• L’al­go­rithme de chif­fre­ment ; il s’agit toujours de RSA (k=rsa).
• La clé publique (p=) ; il s’agit d’une longue chaîne de ca­rac­tères.
• Le sélecteur ; celui-ci varie en fonction du four­nis­seur. Exemple : default._domainkey ou k1._domainkey.

Close

L’en­re­gis­tre­ment DKIM ne peut gé­né­ra­le­ment être consultée qu’au niveau de l’en-tête de l’email. En effet, il faut non seulement le nom de domaine, mais aussi le sélecteur pour pouvoir la retrouver. Celui-ci est gé­né­ra­le­ment inconnu ou ne peut être déterminé qu’au terme de re­cherches ap­pro­fon­dies.

Créer un en­re­gis­tre­ment DKIM

Pour con­fi­gu­rer un en­re­gis­tre­ment DKIM pour vos propres emails, vous devez d’abord générer une paire de clés et la stocker au bon endroit sur le serveur. Si vous exploitez votre propre serveur de mes­sa­ge­rie, vous pouvez créer vous-même les clés et les entrées né­ces­saires. Autrement, la plupart des four­nis­seurs de mes­sa­ge­rie élec­tro­nique peuvent également le faire pour vous.

Demander les clés DKIM à votre four­nis­seur de mes­sa­ge­rie

La manière exacte dépend du four­nis­seur de mes­sa­ge­rie que vous avez choisi, car DKIM n’est pas supporté de la même manière par tous les four­nis­seurs : certains four­nis­seurs ne proposent DKIM qu’aux en­tre­prises, d’autres four­nis­seurs de domaines ne proposent que des clés d’une certaine longueur. En général, les clés DKIM peuvent être demandées via les pa­ra­mètres ou la console d’ad­mi­nis­tra­tion de votre four­nis­seur de mes­sa­ge­rie. En cas de doute, vous pouvez vous adresser di­rec­te­ment au support.

Créer les clés DKIM ma­nuel­le­ment

Pour créer un en­re­gis­tre­ment DKIM, vous pouvez également générer ma­nuel­le­ment la paire de clés né­ces­saire. À cette fin, divers outils sont dis­po­nibles gra­tui­te­ment sur Internet, par exemple le DKIM Record Generator de EasyDMARC. Saisissez un sélecteur au choix ci-dessus (exemple : k1) et le domaine souhaité à droite. Choi­sis­sez ensuite la longueur de clé souhaitée.

Le gé­né­ra­teur produit une clé privée et une clé publique. La clé privée (« private key ») doit être stockée sur le serveur de mes­sa­ge­rie, la clé publique doit quant à elle être saisie dans l’en­re­gis­tre­ment DKIM.

Créer une entrée DKIM

Après avoir créé vos deux clés DKIM, vous devez les déposer chacune au bon endroit. La clé privée doit être stockée sur le serveur de mes­sa­ge­rie ; pour la clé publique, ce sera une entrée DNS cor­res­pon­dante pour votre domaine. Si la paire de clés a été créée par votre four­nis­seur de mes­sa­ge­rie, la clé privée est dans la plupart des cas déjà déposée au bon endroit.

Pour publier votre clé publique, vous devez l’en­re­gis­trer auprès de votre domaine en tant qu’en­re­gis­tre­ment TXT-DNS. Pour ce faire, procédez comme suit :

1. Connectez-vous dans la zone d’ad­mi­nis­tra­tion de votre domaine.
2. Accédez aux en­re­gis­tre­ments DNS.
3. Créez-y un nouvel en­re­gis­tre­ment DNS de type « TXT ».
4. Insérez main­te­nant votre nom d’hôte DKIM dans le champ « Hostname ». Celui-ci se compose du sélecteur et du domaine et a le format suivant : selektor._domainkey.exempledomaine.fr. Au lieu de selektor et exempledomaine.fr, utilisez les valeurs cor­res­pon­dantes.
5. Dans le champ « valeur », insérez la clé publique.
6. En­re­gis­trez la nouvelle entrée et attendez que vos mo­di­fi­ca­tions soient prises en compte par le DNS (cela peut prendre jusqu’à 2-3 jours).

Vérifier l’en­re­gis­tre­ment DKIM

Vous pouvez vérifier si l’en­re­gis­tre­ment DKIM est bien ac­ces­sible au public à l’aide d’un vé­ri­fi­ca­teur DKIM, par exemple avec le DKIM Record Lookup de EasyDMARC.

Toutefois, le plus simple est de vous envoyer un email à vous-même et d’en consulter l’en-tête. Vous y trouverez l’entrée « Signature DKIM » :

Close