Dkim Record Generator
Suite d'Authentification E-mail

DNS DKIM TXT Record Builder & Selector Helper

Générez des enregistrements DNS DKIM TXT conformes à la RFC 6376 avec sélecteur, formatage de clé publique (v=DKIM1; k=rsa; p=...), découpage à 255 caractères et validation.

Confidentialité 100% côté client
RFC 1035 255-Byte Safe
Préréglages :
Nom d'hôte DNS :google._domainkey.example.com
RSA 1024-bit (Legacy / Deprecated)
Paramètres avancés RFC 6376
Algorithme : rsaBits: 1024Caractères clé : 332
Statut : ACTIVE
Type d'enregistrement
TXT
Hôte / Nom
google._domainkey
TTL (Durée de vie)
3600 secondes
Valeur de l'enregistrement TXT (Complète non découpée) :352 caractères
v=DKIM1; s=email; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA3Q2kZ4+jX6s1aL9mB/8uI7fUvX1Q2W3E4R5T6Y7U8I9O0P1A2S3D4F5G6H7J8K9L0M1N2O3P4Q5R6S7T8U9V0W1X2Y3Z4a5b6c7d8e9f0g1h2i3j4k5l6m7n8o9p0q1r2s3t4u5v6w7x8y9z0A1B2C3D4E5F6G7H8I9J0K1L2M3N4O5P6Q7R8S9T0U1V2W3X4Y5Z6a7b8c9d0e1f2g3h4i5j6k7l8m9n0o1p2q3r4s5t6u7v8w9x0y1z2A3B4C5D6E7F8G9H0I1J2K3L4M5N6O7P8QIDAQAB
Détail des balises RFC 6376
BaliseValeur
v=DKIM1
k=rsa
p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...
s=email
Taille de l'enregistrement : 352 octetsChunks: 2TTL: 3600s
RFC 6376 Compliant
Selector FQDN
google._domainkey.example.com
Destination de requête pour relais de messagerie
Algorithme
RSA 1024-bit
RSA 1024-bit (Legacy / Deprecated)
RFC 6376 Compliance
Valide & Vérifié
2 strings chunked (<255B)

Exécution Locale Zero-Knowledge

Tous les traitements, analyses et générations s'exécutent strictement dans la mémoire de votre navigateur. Zéro transmission vers un serveur externe.

Moteur Réactif Submilliseconde

All data payloads remain strictly local with zero external server communication.

Production Ready Export

Clean, optimized output formats ready for immediate deployment.

Référence technique et guide d'architecture

Guide Développeur : Générateur d'Enregistrements DNS DKIM TXT & Sélecteurs — Guide de référence

Générez des enregistrements DNS DKIM TXT conformes à la RFC 6376 avec sélecteur, formatage de clé publique (v=DKIM1; k=rsa; p=...), découpage à 255 caractères et validation.

Paramètres clés et contrôles

Sélecteur (s)Chaîne (Alphanumérique/Tiret)

Préfixe identifiant le sous-domaine DNS sous <selector>._domainkey.<domaine>. Permet d'héberger plusieurs clés de signature distinctes pour la rotation et les plateformes de messagerie tierces.

Par défaut : default
Clé Publique (p)Chaîne Base64

Clé publique ASN.1 DER SubjectPublicKeyInfo encodée en Base64. Les en-têtes PEM (-----BEGIN/END PUBLIC KEY-----) et les sauts de ligne doivent être supprimés. Une valeur vide (p=) révoque officiellement la clé.

Par défaut : MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...
Algorithme de Clé (k)Enum (rsa | ed25519)

Algorithme asymétrique employé pour la signature. 'rsa' offre une compatibilité universelle avec l'ensemble des MTA mondiaux ; 'ed25519' (RFC 8463) produit des signatures courtes et très véloces.

Par défaut : rsa
Indicateurs d'État (t)Indicateurs (y | s | y:s | Aucun)

Balises de contrôle opérationnel. 'y' active le mode test (les serveurs récepteurs n'appliquent pas de rejet) ; 's' interdit l'usage de la signature aux sous-domaines en imposant une stricte égalité de domaine.

Par défaut : Aucun
Type de Service (s)Enum (* | email)

Restreint la portée du service autorisé pour cette clé. 'email' limite l'usage au courrier électronique, tandis que '*' autorise tous les services pris en charge.

Par défaut : *

Conseils de pro et bonnes practices

La norme DNS limite les segments de

La norme DNS limite les segments de chaînes TXT individuels à 255 octets. Une clé RSA de 2048 bits génère environ 392 caractères en Base64. Dans les fichiers de zone BIND, encadrez l'enregistrement de parenthèses et scindez la chaîne en deux blocs entre guillemets : ("v=DKIM1; k=rsa; p=première_partie..." "seconde_partie..."). Les fournisseurs DNS modernes effectuent cette concaténation de manière transparente.

Les exigences actuelles de Google

Les exigences actuelles de Google, Yahoo et du consortium M3AAWG imposent une longueur de clé DKIM minimale de 2048 bits. Les clés de 1024 bits sont vulnérables aux attaques modernes par factorisation. Évitez les clés de 4096 bits sans impératif strict, car la réponse DNS peut dépasser le seuil UDP de 512 octets et forcer un basculement vers TCP.

Ne remplacez jamais directement une

Ne remplacez jamais directement une clé active en production. Publiez une nouvelle paire de clés avec un sélecteur horodaté (ex. 2026q4), vérifiez sa propagation mondiale avec dig, basculez le MTA pour signer avec 2026q4, puis conservez l'ancien sélecteur pendant 7 à 14 jours afin de valider les courriels en cours d'acheminement.

Si une clé privée est compromise

Si une clé privée est compromise, ne supprimez pas simplement l'enregistrement DNS. Publiez l'entrée explicite 'v=DKIM1; p=' sous le sélecteur concerné pour ordonner officiellement aux serveurs de messagerie destinataires de rejeter toute signature liée à cette clé.

Pièges courants et dépannage

Le serveur destinataire indique 'dkim=fail (bad signature)' ou clé introuvable

Vérifiez que le nom de l'hôte DNS est bien créé sous la forme <selector>._domainkey.<domaine> (la mention '._domainkey' est obligatoire). Assurez-vous que les balises PEM ('-----BEGIN PUBLIC KEY-----'), les retours à la ligne (\r, \n) et les espaces superflus ont été retirés de p=.

L'interface DNS rejette l'enregistrement avec une erreur de syntaxe ou de limite de 255 caractères

Si votre registraire DNS ne gère pas automatiquement le découpage au-delà de 255 octets, saisissez l'enregistrement scindé en deux chaînes entre guillemets à l'intérieur de parenthèses, ou migrez votre zone vers un fournisseur supportant la fragmentation native.

La signature DKIM est valide mais DMARC échoue pour cause de désalignement (unaligned)

L'alignement DMARC exige que le domaine spécifié dans la balise d= de la signature DKIM concorde avec le domaine visible de l'en-tête 'From:'. En cas d'usage de services tiers (SendGrid, Mailgun), configurez un DKIM personnalisé via délégation CNAME sur votre propre domaine.

Foire aux questions (FAQ)

Quelle est la différence fondamentale entre DKIM, SPF et DMARC ?▼

Le SPF vérifie que l'adresse IP de transmission est légitime pour le domaine d'enveloppe (Return-Path). Le DKIM garantit l'intégrité cryptographique et l'authenticité de l'expéditeur en signant les en-têtes et le corps du message. Le DMARC orchestre ces deux contrôles, impose l'alignement avec l'adresse d'expédition visible et prescrit aux destinataires la conduite à tenir (none, quarantine, reject).

Pourquoi l'utilisation d'un sélecteur est-elle indispensable pour DKIM ?▼

Le sélecteur instaure un espace de sous-domaine (_domainkey) permettant à un même domaine de faire cohabiter plusieurs paires de clés publiques simultanées. Cela rend possibles les rotations régulières de clés sans coupure et l'autorisation de services d'envoi tiers (Google Workspace, marketing) sans partage de clés privées.

Comment scinder une clé publique RSA de 2048 bits pour respecter la limite des enregistrements DNS TXT ?▼

Selon la RFC 1035 section 3.3.14, aucune chaîne textuelle au sein d'un enregistrement TXT ne peut dépasser 255 octets. Pour publier une clé de 2048 bits (~392 caractères Base64), scindez la valeur en deux chaînes contiguës entre guillemets : ("v=DKIM1; k=rsa; p=PREMIERE_PARTIE..." "SECONDE_PARTIE..."). Les résolveurs DNS les réassemblent sans ajouter d'espace.

Peut-on utiliser des clés Ed25519 à la place de RSA pour le DKIM ?▼

Oui, la RFC 8463 standardise l'algorithme à courbe elliptique Ed25519 pour DKIM. La clé publique ne comporte que 44 caractères en Base64 et s'insère aisément dans un enregistrement de 255 octets sans découpage. Toutefois, certains serveurs d'entreprise plus anciens ne prenant pas en charge Ed25519, l'usage de RSA 2048 bits ou la double signature (RSA et Ed25519) demeure la pratique recommandée.

Comment vérifier la bonne propagation et la conformité d'un enregistrement DKIM dans le DNS ?▼

Interrogez vos serveurs DNS via la commande 'dig TXT <selector>._domainkey.<domaine> +short' ou 'nslookup -type=TXT <selector>._domainkey.<domaine>'. Envoyez également un courriel de test vers un compte externe tel que Gmail, puis examinez le code source du message pour repérer la mention 'Authentication-Results: dkim=pass'.

Outils et utilitaires connexes

Tous les outils →
Guide Développeur : Générateur de Stratégies MTA-STS et Enregistrements DNS TLS-RPTSécurité

Guide de référence technique et bonnes pratiques pour générer les fichiers de stratégie RFC 8461 MTA-STS, les enregistrements DNS TXT _mta-sts et les rapports d'incidents RFC 8460 TLS-RPT.

Ouvrir l'outil→
Décodeur de Jeton JWT & Inspecteur de SécuritéSécurité

Utilitaire pour développeurs permettant de décoder les JSON Web Tokens côté client, d'inspecter les claims RFC 7519 et OIDC, d'auditer les expirations et de vérifier les signatures HMAC localement.

Ouvrir l'outil→
Générateur Criptographique de Mots de Passe & PassphrasesSécurité

Générez des mots de passe robustes à haute entropie, des passphrases mémorisables (Diceware), des codes PIN et des jetons d'API avec l'API Web Crypto CSPRNG conforme à la norme NIST SP 800-63B.

Ouvrir l'outil→
Générateur de Hachage Cryptographique et Contrôle d'IntégritéSécurité

Calculez instantanément les empreintes SHA-256, SHA-512, MD5, SHA-1, SHA-3, Keccak et CRC32 localement dans votre navigateur avec l'API Web Crypto 100% sécurisée.

Ouvrir l'outil→
Débogueur et Vérificateur de Signature JSON Web Token (JWT)Sécurité

Décodez, inspectez et vérifiez les signatures HMAC (HS256/384/512) et RSA (RS256/384/512) 100% localement dans votre navigateur via Web Crypto API.

Ouvrir l'outil→
Testeur de Force de Mot de Passe RéférenceSécurité

Guide technique d'évaluation de la robustesse des mots de passe, calcul d'entropie et estimation du temps de craquage.

Ouvrir l'outil→