Comment fonctionne DKIM

DKIM – Fonctionnement

Serveurs d'envoi

La signature d'un e-mail avec DKIM comporte deux étapes :

1. Le propriétaire du domaine génère une paire de clés publique/privée destinée à signer les messages sortants (plusieurs paires de clés sont possibles). La clé publique est publiée dans un enregistrement DNS TXT, et la clé privée est mise à disposition du serveur de messagerie sortant compatible DKIM.
2. Lorsqu'un e-mail est envoyé par un utilisateur autorisé du serveur de messagerie, le serveur utilise la clé privée stockée pour générer une signature numérique du message, qui est insérée dans le message sous forme d'en-tête, puis l'e-mail est envoyé normalement

Serveurs de réception

1. Le serveur de messagerie destinataire compatible DKIM extrait la signature et le domaine de l'expéditeur déclaré (From:) des en-têtes du message.
2. La clé publique est récupérée depuis le système DNS pour le domaine déclaré dans le champ From:.
3. La clé publique est utilisée par le système de messagerie destinataire pour vérifier que la signature a été générée par la clé privée correspondante. Une correspondance prouve de fait que le message a bien été envoyé depuis le domaine déclaré, avec l'autorisation de celui-ci, et que les en-têtes et le contenu du message n'ont pas été modifiés pendant la transmission.
4. Le système de messagerie destinataire applique des règles locales en fonction du résultat de la vérification de la signature. Par exemple, le message peut être supprimé si la signature ne correspond pas.

Pour que DKIM fonctionne, le serveur de messagerie de l'expéditeur doit signer les e-mails sortants, et un enregistrement DNS public indiquant la valeur DKIM doit également être disponible.