Aller au contenu
Emailens
Se connecter

Test DKIM : trouvez et vérifiez votre enregistrement DKIM

Cet outil cherche votre clé publique DKIM sur 17 sélecteurs courants, ou sur celui que vous saisissez, et lit chaque clé trouvée : type, longueur RSA, et si elle est illisible ou révoquée.

@emailens/engine 0.17.2 · données modifiées le 27 octobre 2026

Le sélecteur est la valeur s= de l’en-tête DKIM-Signature d’un email que vous avez envoyé. Laissez le champ vide pour essayer les sélecteurs courants.

Exemple : example.com, un domaine fictif avec un enregistrement DKIM d’exemple. Vérifiez le vôtre ci-dessus.

réussiexample.com

Enregistrement DKIM robuste (RSA 2048 bits) actif pour le ou les sélecteurs : google.

Les signatures DKIM permettent aux serveurs de réception de vérifier que les messages proviennent bien de example.com et n’ont pas été modifiés en route.

1 sélecteur trouvé

  • googlerobusteRSA 2048 bits

    RSA de 2048 bits ou plus, ou Ed25519.

    TXT google._domainkey.example.com

    v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAp06XivNW4/uBMImlwO8kNJns/rLvkhd1NMoC/ZZnaRbjQQ3XChlqA+7WBh5TRbvRiDGZymDednBHFiLIAP58P+A5htd0AXfXmkKdjMDgWM2rBHg799htYWyISrOf4o5Ev4Qnp0qgTNlDbnDI7sGrwEmgwyDuQnTAziJadfIAKRki+AeAo3OFTK+TmLPMKygfF8M45TcAu8yq9E13nyu0z1nUzy/E5SGXVYg9uqN2xXXDAG9FJK/ht2Y2k2qNyg8lc9IAjibHlhxaVTQZK8f7pWkYqW9uRnF81RHztwbazwodvQbRaxIvrsN6NNBzo11XzxXfm/9IZUT3cv4ur1LSFQIDAQAB

Sélecteurs essayés (17)
  • google (trouvé)
  • selector1
  • selector2
  • default
  • dkim
  • k1
  • k2
  • k3
  • mail
  • s1
  • s2
  • mandrill
  • pm
  • protonmail
  • smtp
  • resend
  • cf2024-1

Chaque nom est cherché comme enregistrement TXT sur selector._domainkey.example.com. Un enregistrement avec v=DKIM1 ou une balise p= compte comme trouvé.

Le vérificateur demande un écran d’ordinateur.

Ce que lit chaque vérification

Recherche
Cherche un enregistrement TXT sur selector._domainkey de votre domaine pour 17 noms de sélecteur courants, plus celui que vous saisissez. Un enregistrement contenant v=DKIM1 ou une balise p= compte comme trouvé.
Clé
Lit la balise k= (Ed25519, sinon RSA) et, pour RSA, la vraie longueur du module dans la clé p=, plutôt que de la deviner d’après la longueur du texte.
Robustesse
2048 bits ou plus, ou Ed25519 : robuste. De 1024 à 2047 : ancienne mais acceptée. Sous 1024 : trop courte. Un p= qui n’est pas une clé lisible : illisible. Un p= vide : clé révoquée.
Verdict
Une clé révoquée échoue. Sinon, la pire clé trouvée déclenche un avertissement, en nommant son sélecteur. Ne rien trouver donne un avertissement, pas un échec : votre sélecteur n’est peut-être pas dans la liste.

Une clé publiée n’est que la moitié du travail : pour savoir si la signature d’un vrai message est passée, collez ses en-têtes dans l’analyseur d’en-têtes d’email (en anglais). Puis vérifiez le SPF et DMARC.

À vérifier ensuite

Lancez cette vérification sur chaque email

Un compte gratuit revérifie vos enregistrements chaque jour (1 domaine surveillé) et vous prévient par email dès que l’un d’eux change : Surveillez votre domaine chaque jour, gratuitement.

Surveillance SPF, DKIM et DMARC (Dev). L’offre Dev coûte 9 $ par mois. Pour un développeur : 100 vérifications par jour, une clé API et une boîte de réception de test. Voir les offres →

Questions fréquentes

Que vérifie un test DKIM ?

Ce test cherche la clé publique DKIM que votre domaine publie dans le DNS, sur selector._domainkey.yourdomain, pour 17 sélecteurs courants et tout sélecteur que vous saisissez. Pour chaque clé trouvée, il lit le type (RSA ou Ed25519), mesure la longueur de la clé RSA, et signale les clés trop courtes, illisibles ou révoquées. Il vérifie la clé publiée, pas la signature d’un vrai message.

Qu’est-ce qu’un sélecteur DKIM, et comment trouver le mien ?

Le sélecteur est le nom sous lequel un service d’envoi publie sa clé, pour qu’un même domaine puisse porter les clés de plusieurs services. Ouvrez un email que vous avez envoyé, affichez ses en-têtes d’origine et trouvez l’en-tête DKIM-Signature : s= est le sélecteur et d= le domaine qui porte la clé. L’enregistrement se trouve sur s._domainkey.d.

Pourquoi le test ne trouve-t-il aucun enregistrement DKIM ?

Le DNS ne permet pas de lister les sélecteurs d’un domaine : un test doit donc deviner des noms. Si votre service signe avec un nom absent des noms courants, rien n’apparaît alors que DKIM fonctionne. Saisissez le sélecteur de la balise s= d’un de vos emails. Si cela ne trouve rien non plus, la clé n’est pas publiée sur ce domaine.

Une clé DKIM de 1024 bits suffit-elle encore ?

Les emails signés avec une clé RSA de 1024 bits passent toujours chez Gmail, Yahoo et Microsoft. La longueur recommandée est 2048 bits. Gmail traite les clés de moins de 1024 bits comme une absence de signature. Vous ne réglez pas la longueur dans le DNS : c’est le service qui signe vos emails qui émet la clé. S’il le propose, générez-y une clé de 2048 bits et remplacez l’enregistrement.

Que signifie un p= vide dans un enregistrement DKIM ?

La RFC 6376 lit un p= vide comme une clé révoquée : les serveurs de réception font échouer toute signature faite avec ce sélecteur. C’est la bonne façon de retirer un sélecteur qui ne sert plus à aucun envoi. Si un service s’en sert encore pour signer, publiez-y sa clé actuelle.