RFC 6376 — Signatures de courrier identifiées par clés de domaine (DKIM)
ELI5: DKIM appose une signature inviolable sur votre email et place la clé publique correspondante dans votre DNS, afin que les destinataires puissent confirmer que le message provient réellement de votre domaine et n'a pas été modifié en transit.
Pourquoi cet RFC existe
DKIM donne à l'email une signature vérifiable au niveau du domaine qui survit à la réexpédition, complétant la vérification basée sur le chemin de SPF.
Fonctionnement
L'expéditeur signe les en-têtes sélectionnés et le corps ; la clé publique se trouve à <selector>._domainkey.<domain> dans le DNS. La signature nomme le domaine signataire dans sa balise d=.
Pourquoi le domaine d'expédition compte
La clé DKIM est un enregistrement DNS sous votre domaine d'expédition (ou sous-domaine), et son domaine d= est celui contre lequel DMARC s'aligne — une autre raison d'envoyer depuis un domaine pour lequel vous pouvez publier des enregistrements.
Guide pratique
Pour la configuration pratique, voir Pourquoi vous devriez utiliser un sous-domaine pour envoyer des emails.