Améliorer la sécurité des e-mails via un enregistrement DKIM

Objectif

L'enregistrement DKIM (DomainKeys Identified Mail) permet de signer les e-mails pour éviter l'usurpation d'identité. Cette signature fonctionne sur le principe du hachage combiné à une cryptographie asymétrique.

Découvrez comment fonctionne DKIM et comment le mettre en place pour votre service e-mail.

Prérequis

Avoir souscrit à l'une des offres e-mail ci-dessous :
- MX Plan OVHcloud (disponible via une offre d’hébergement Web Cloud, un hébergement gratuit 100M ou une offre MX Plan commandée séparément).
- Exchange ou Private Exchange.
- E-mail Pro.
- Zimbra.
- Une offre e-mail hors OVHcloud disposant du DKIM.

Accès à l'espace client OVHcloud

Lien direct : Zones DNS
Pour accéder à vos services : Web Cloud > Zones DNS > Sélectionnez votre nom de domaine

Warning

Si votre nom de domaine n'utilise pas les serveurs DNS d'OVHcloud, vous devez réaliser la modification du DKIM depuis l'interface du prestataire gérant la configuration de votre nom de domaine.

Si votre nom de domaine est déposé chez OVHcloud, vous pouvez vérifier si ce dernier utilise notre configuration OVHcloud dans votre espace client depuis l'onglet Zone DNS, une fois le domaine concerné sélectionné.

En pratique

Sommaire

Comment le DKIM fonctionne-t-il ?
Configurer le DKIM automatiquement pour une offre e-mail OVHcloud
Configurer le DKIM par API pour une offre e-mail OVHcloud
Configurer DKIM pour une offre e-mail hors de votre compte OVHcloud
Tester votre DKIM
Cas d'usages

Comment le DKIM fonctionne-t-il ?

Pour bien comprendre pourquoi le DKIM permet de sécuriser vos échanges d'e-mails, il est nécessaire de comprendre comment il fonctionne. Le DKIM fait appel au « hachage » et au « chiffrement asymétrique » pour créer une signature sécurisée. La plateforme e-mail et la zone DNS de votre nom de domaine vont aider à transmettre les informations du DKIM à vos destinataires.

Le hachage

Le principe d'une fonction de hachage est de générer une signature (aussi appelée empreinte) à partir d'une donnée d'entrée. Son intérêt est de créer en sortie une suite de caractères fixe, quelle que soit la quantité de données en entrée.

Sur le diagramme suivant, vous pouvez constater que la sortie (Output) sera toujours composée de 32 caractères en utilisant un algorithme de hachage MD5 (Message Digest 5), alors que le texte d'entrée (Input) peut varier en taille. La moindre variation de caractère dans la donnée d'entrée change complètement le hachage en sortie, ce qui rend la signature en sortie imprévisible et infalsifiable. Dans l'exemple ci-dessous, la valeur d'entrée (Input) est passée dans l'algorithme de hachage MD5 et présente en sortie (Output) sa valeur de hachage.

La fonction de hachage est utile lorsque vous souhaitez vérifier l'intégrité d'un message. En effet, deux données qui peuvent sembler très similaires présentent en réalité une valeur de hachage complètement différente, avec une longueur de caractères égale en sortie, quelle que soit la longueur d'entrée.

Le chiffrement asymétrique

Le chiffrement, comme son nom l'indique, a pour but de chiffrer les données qu'on lui donne. Il est « asymétrique » car la clé de chiffrement n'est pas la même que la clé de déchiffrement, contrairement à un chiffrement symétrique qui utilisera la même clé pour chiffrer et déchiffrer.

Dans le chiffrement asymétrique, on utilise une clé publique et une clé privée. La clé publique est visible et utilisable par tous. La clé privée est uniquement utilisée par le titulaire et n'est pas visible de tous.

Il existe deux utilisations du chiffrement asymétrique :

La donnée d'entrée est chiffrée avec la clé publique et déchiffrée par celui qui possède la clé privée. Par exemple, vous souhaitez qu'un tiers vous transmette des données de manière sécurisée. Vous transmettez votre clé publique sans vous soucier que quelqu'un la récupère, ce tiers chiffrera ses données avec votre clé publique. Les données chiffrées ne pourront être déchiffrées que par le titulaire de la clé privée.

La donnée d'entrée est chiffrée par le titulaire de la clé privée et déchiffrée par la clé publique. Cette utilisation s'applique pour authentifier un échange de donnée. Par exemple, vos destinataires souhaitent s'assurer que vous êtes bien l'auteur du message que vous leur transmettez. Dans ce cas, vous allez chiffrer votre message avec votre clé privée. Ce message ne pourra être déchiffré que par la clé publique que vous aurez transmise à tout le monde, ce qui garantit à vos destinataires l'authenticité de votre message. En effet, un message déchiffré par la clé publique ne peut provenir uniquement que du titulaire de la clé privée.

Comment le hachage et le chiffrement asymétrique sont-ils utilisés pour le DKIM ?

Depuis la plateforme e-mail, le DKIM va utiliser le hachage pour créer une signature à partir de certains éléments de l'en-tête de l'e-mail et du corps de l'e-mail (contenu de l'e-mail).

La signature est ensuite chiffrée avec la clé privée en utilisant le chiffrement asymétrique.

Pourquoi a-t-on besoin de configurer les serveurs DNS ?

Pour que le destinataire puisse vérifier la signature DKIM de l'expéditeur, il aura besoin des paramètres DKIM et surtout de la clé publique pour la déchiffrer. La zone DNS d'un nom de domaine est publique, c'est pourquoi un enregistrement DNS est ajouté pour transmettre la clé publique et les paramètres DKIM au destinataire.

Qu'est-ce qu'un sélecteur DKIM ?

Lorsque vous activez le DKIM, celui-ci fonctionne avec une paire de clé publique / clé privée. Il est possible d'attribuer plusieurs paires de clés à votre nom de domaine, dans le cadre d'une rotation par exemple. En effet, lorsque vous changez de paire de clés, l'ancienne paire doit rester active le temps que l'ensemble des e-mails que vous avez envoyé avec l'ancienne clé ne rencontre pas d'échec dans la vérification du DKIM sur le serveur de réception.

Pour que ce principe de rotation fonctionne, on va utiliser ce qu'on appelle les sélecteurs DKIM. Un sélecteur DKIM comprend une paire de clé privée/clé publique. Il est visible sous la forme d'une chaîne de caractère dans la signature DKIM d'un e-mail par l'argument s=. Cette signature est visible dans l'en-tête de l'e-mail.

Exemple d'une partie de signature DKIM

DKIM-Signature: v=1; a=rsa-sha256; d=mydomain.ovh; s=ovhex123456-selector1; c=relaxed/relaxed; t=1681877341;

La valeur du sélecteur est ici s=ovhex123456-selector1.

Exemple d'un e-mail envoyé en utilisant le DKIM

Lorsque vous envoyez un e-mail depuis contact@mydomain.ovh, une signature chiffrée à l'aide d'une clé privée (private key) est ajoutée dans l'en-tête de l'e-mail.

Le destinataire recipient@otherdomain.ovh pourra déchiffrer cette signature avec la clé publique (Public key) visible dans la zone DNS de mydomain.ovh. La signature est créée à partir du contenu de l'e-mail envoyé. Cela signifie que si l'e-mail est modifié lors du transit, la signature ne correspondra pas avec le contenu et cela provoquera donc l'échec de la vérification DKIM sur le serveur destinataire.

Configurer le DKIM automatiquement pour une offre e-mail OVHcloud

La configuration automatique du DKIM est accessible pour toutes nos offres e-mail :

MX Plan incluse avec un hébergement Web Cloud, un hébergement gratuit 100M ou commandée séparément.
Exchange.
E-mail Pro.
Zimbra.

Lorsque vous configurez votre nom de domaine sur une solution e-mail OVHcloud, la configuration automatique du DKIM est proposée et réalisée par défaut si vous ne la désactivez pas.

Si le DKIM n'a pas été activé lorsque vous avez ajouté un nom de domaine à votre plateforme e-mail, vous devrez lancer le processus de configuration automatique via l'espace client.

Cliquez sur l'onglet ci-dessous correspondant à votre offre.

MX Plan

Exchange

E-mail Pro

Zimbra

Connectez-vous à votre espace client OVHcloud.
Rendez-vous dans la partie Web Cloud.
Cliquez sur MX Plan.
Sélectionnez le domaine concerné.
Enfin, allez dans l'onglet Informations générales.

Dans le cadre Informations générales, vous pouvez observer que la pastille DKIM est rouge sous la mention Diagnostique.

Pour activer le DKIM, il vous suffit maintenant de cliquer sur la pastille DKIM rouge puis sur Activer depuis la fenêtre d'activation qui apparaît.

Dans le cas où votre nom de domaine n'est pas géré dans le même espace client OVHcloud que votre plateforme e-mail ou enregistré hors OVHcloud, vous obtenez la fenêtre ci-dessous :

Celle-ci vous invite à saisir deux valeurs CNAME dans la zone DNS du nom de domaine, ce qui permet de lier ce nom de domaine aux sélecteurs DKIM de votre service e-mail. Il est nécessaire de saisir ces valeurs et de vous assurer qu'elles soient propagées avant de cliquer sur Activer.

Connectez-vous à votre espace client OVHcloud.
Rendez-vous dans la partie Web Cloud.
Dans la rubrique MICROSOFT, cliquez sur Exchange.
Sélectionnez la plateforme concernée.
Enfin, allez dans l'onglet Domaines associés.

À droite du nom de domaine concerné, vous pouvez observer que la pastille DKIM est rouge.

Pour activer le DKIM, il vous suffit maintenant de cliquer sur la pastille DKIM rouge puis sur Activer depuis la fenêtre d'activation qui apparaît.

Connectez-vous à votre espace client OVHcloud.
Rendez-vous dans la partie Web Cloud.
Cliquez sur Email Pro.
Sélectionnez la plateforme concernée.
Enfin, allez dans l'onglet Domaines associés.

À droite du nom de domaine concerné, vous pouvez observer que la pastille DKIM est rouge.

Pour activer le DKIM, il vous suffit maintenant de cliquer sur la pastille DKIM rouge puis sur Activer depuis la fenêtre d'activation qui apparaît.

Connectez-vous à votre espace client OVHcloud.
Rendez-vous dans la partie Web Cloud.
Cliquez sur Zimbra Mail.
Enfin, allez dans l'onglet Domaine.
À droite du domaine concerné, cliquez sur ⁝, puis sur Diagnostics.

À droite de la mention DKIM sur l'onglet correspondant, vous devriez observer un avertissement indiquant que le DKIM est en défaut. Cliquez sur l'onglet DKIM pour accéder au statut de la configuration DKIM. Pour corriger l'erreur, vous devez ajouter ou modifier deux entrées DNS de type CNAME dans la zone DNS du nom de domaine associé, selon les informations visible depuis cet onglet.

Info

Astuce pour créer un enregistrement CNAME

Depuis l'espace client OVHcloud où est hébergé le nom de domaine de votre service e-mail, dans la partie Web Cloud, cliquez sur Noms de domaine dans la colonne de gauche et sélectionnez le nom de domaine concerné.

Sélectionnez l'onglet Zone DNS puis cliquez sur Ajouter une entrée dans la fenêtre qui s'affiche. Choisissez CNAME puis complétez selon les valeurs que vous avez relevées.

L'activation automatique du DKIM dure entre 30 minutes et 24 heures maximum. Pour vérifier que votre DKIM est fonctionnel, il vous suffit de retourner dans la rubrique de gestion du domaine mentionnée dans les onglet ci-dessus et de vérifier que la pastille DKIM est verte ou, pour une offre Zimbra, que l'onglet DKIM ne présente plus l'icône d'avertissement.

Au-delà des 24 heures, si votre pastille DKIM est rouge, consultez la rubrique « Pourquoi le DKIM n'est pas fonctionnel et apparait en rouge dans l'espace client ? » de ce guide.

Configurer le DKIM par API pour une e-mail OVHcloud

Pour une plateforme Exchange ou E-mail Pro, vous devez d'abord récupérer la référence de votre plateforme pour configurer votre DKIM.

Cliquez sur l'onglet ci-dessous correspondant à votre offre.

Exchange

E-mail Pro

Connectez-vous à votre espace client OVHcloud.
Rendez-vous dans la partie Web Cloud.
Dans la rubrique MICROSOFT, cliquez sur Exchange.
Sélectionnez la plateforme concernée.

Par défaut, le nom de votre plateforme correspond à sa référence ou celle-ci sera visible sous le nom que vous lui avez attribué (voir l'image ci-dessous).

Assurez-vous également que le nom de domaine que vous souhaitez utiliser pour vos e-mails soit bien actif dans la rubrique Domaines associés.

API - Configuration complète du DKIM

Pour configurer le DKIM, rendez-vous sur la page des API OVHcloud et connectez-vous :

Cliquez sur Authentication en haut à gauche.
Cliquez ensuite sur Login with OVHcloud SSO.
Saisissez vos identifiants OVHcloud.
Cliquez sur le bouton Authorize pour autoriser les appels aux API depuis ce site.

Info

Appuyez-vous sur notre guide « Premiers pas avec les API OVHcloud » si vous n'avez jamais utilisé les API.

Dirigez-vous vers la section /email/domain/ (offres MX Plan et Zimbra), /email/exchange (offre Exchange) ou /email/pro (offre E-mail Pro) des API et renseignez « dkim » dans le champ Filter pour faire apparaître uniquement les fonctions API relatives au DKIM.

Cliquez sur l'onglet correspondant à votre offre :

MX Plan et Zimbra

Exchange

E-mail Pro

Pour MX Plan et Zimbra

Suivez les 5 étapes en cliquant successivement sur chacun des 5 onglets ci-dessous :

1. Activer le DKIM sur votre nom de domaine

2. Vérifier l'état de l'opération DKIM

3. Récupérer l'enregistrement DNS

4. Configurer l'enregistrement DNS

5. Activation du DKIM

Pour activer le DKIM sur votre nom de domaine, utilisez l'appel API suivant :

PUT/email/domain/{domain}/dkim/enable

- domain : saisissez le nom de domaine attaché à votre service E-mail sur lequel vous souhaitez activer DKIM.

Cliquez sur EXECUTE pour lancer l'activation.

Exemple de résultat:

{
 "domain": "mydomain.ovh",
 "id": 123455789,
 "function": "domain/enableDKIM",
 "status": "todo"
}

Vous devriez obtenir le même résultat que dans l'exemple ci-dessus avec la mention "status": "todo" indiquant que le DKIM va être installé.

Après avoir lancé le processus d'activation du DKIM, suivez l'état de l'installation pour vous assurer que l'installation se termine ou pour récupérer les enregistrements DNS si votre zone DNS est gérée en dehors de votre espace client OVHcloud.
.

Pour cela, utilisez l'appel API suivant :

GET/email/domain/{domain}/dkim

- domain : saisissez le nom de domaine attaché à votre service E-mail.

Cliquez sur EXECUTE pour visualiser le résultat.

Exemple de résultat :

{
 "activeSelector": null,
 "autoconfig": true,
 "selectors": [
   {
     "selectorName": "ovhmo3456789-selector2",
     "status": "set",
     "cname": "ovhmo3456789-selector2._domainkey.mydomain.ovh CNAME ovhmo3456789-selector2._domainkey.123402.aj.dkim.mail.ovh.net."
   },
   {
     "selectorName": "ovhmo3456789-selector1",
     "cname": "ovhmo3456789-selector1._domainkey.mydomain.ovh CNAME ovhmo3456789-selector1._domainkey.123403.aj.dkim.mail.ovh.net.",
     "status": "set"
   }
 ],
 "status": "modifying"
}

Dans l'exemple ci-dessus, la dernière ligne d'état "status": "modifying" signifie que la configuration est en cours. Patientez environ 10 minutes et relancez l'appel API.

si la valeur est "status": "enabled", votre configuration est terminée et fonctionnelle.
si la valeur est "status": "disabled", votre configuration doit être complétée manuellement, passez à l'étape suivante.

Vous devez configurer manuellement la zone DNS de votre nom de domaine dans les cas suivants :

votre service E-mail est lié à un nom de domaine qui est géré dans un autre compte client OVHcloud ;
votre service E-mail est lié à un nom de domaine qui est géré dans un autre bureau d'enregistrement.

Pour configurer votre zone DNS, vous devez récupérer les valeurs de l'enregistrement DNS des deux sélecteurs. Pour cela, utilisez le résultat de l'appel API de l'étape précédente :

GET/email/domain/{domain}/dkim

- domain : saisissez le nom de domaine attaché à votre service E-mail.

Cliquez sur EXECUTE pour visualiser le résultat.

Exemple de résultat :

{
 "activeSelector": null,
 "status": "disabled",
 "autoconfig": false,
 "selectors": [
   {
     "cname": "ovhmo3456789-selector1._domainkey.mydomain.ovh CNAME ovhmo3456789-selector1._domainkey.123403.aj.dkim.mail.ovh.net."
     "status": "toSet",
     "selectorName": "ovhmo4287928-selector1"
   },
   {
     "selectorName": "ovhmo4287928-selector2",
     "cname": "ovhmo3456789-selector2._domainkey.mydomain.ovh CNAME ovhmo3456789-selector2._domainkey.123402.aj.dkim.mail.ovh.net.",
     "status": "toSet"
   }
 ]
}

Les valeurs "status": "toSet" et "status": "disabled" signifient que les enregistrements CNAME sont à configurer. Récupérez les 2 valeurs cname dans un fichier texte et passez à l'étape suivante.

Depuis l'espace client OVHcloud où est hébergé le nom de domaine de votre service e-mail, dans l'onglet Web Cloud, cliquez sur Noms de domaine dans la colonne de gauche et sélectionnez le nom de domaine concerné.

Dirigez-vous vers l'onglet Zone DNS puis cliquez sur Ajouter une entrée dans la fenêtre qui s'affiche. Choisissez CNAME puis complétez selon les valeurs que vous avez relevées.

Si on décompose les valeurs de l'exemple à l'étape "3. Récupérer l'enregistrement DNS" :

ovhmo3456789-selector1._domainkey.mydomain.ovh correspond au sous-domaine de l'enregistrement CNAME. On garde seulement ovhmo3456789-selector1._domainkey car le .mydomain.ovh est déjà prérempli.
ovhmo3456789-selector1._domainkey.123403.aj.dkim.mail.ovh.net." correspond à la cible de l'enregistrement. Il faut bien conserver le point à la fin pour ponctuer la valeur.

Une fois les valeurs saisies, cliquez sur Suivant puis sur Valider.

Info

Répétez cette opération pour le deuxième sélecteur.

Si vous configurez votre zone DNS dans une interface tierce hors OVHcloud, votre enregistrement CNAME doit avoir la forme suivante :

ovhmo3456789-selector1._domainkey IN CNAME ovhmo3456789-selector1._domainkey.123403.aj.dkim.mail.ovh.net.

Warning

N'oubliez pas qu'une modification dans une zone DNS est soumise à un délai de propagation. Il est généralement court mais peut s'étendre jusqu'à 24 heures.

Après la propagation de votre configuration DNS, utilisez à nouveau l'appel API suivant pour activer le DKIM :

PUT/email/domain/{domain}/dkim/enable

- domain : saisissez le nom de domaine attaché à votre service e-mail sur lequel vous souhaitez activer DKIM.

Cliquez sur EXECUTE pour lancer l'activation.

Exemple de résultat :

{
 "selectors": [
   {
     "selectorName": "ovhmo3465680-selector2",
     "cname": "ovhmo3456789-selector2._domainkey.mydomain.ovh CNAME ovhmo3456789-selector2._domainkey.123402.aj.dkim.mail.ovh.net.",
     "status": "set"
   },
   {
     "status": "set",
     "cname": "ovhmo3456789-selector1._domainkey.mydomain.ovh CNAME ovhmo3456789-selector1._domainkey.123403.aj.dkim.mail.ovh.net."
     "selectorName": "ovhmo3465680-selector1"
   }
 ],
 "activeSelector": "ovhmo3465680-selector1",
 "autoconfig": true,
 "status": "enabled"
}

Si vous constatez bien les valeurs "status": "set" sur les 2 sélecteurs, cela signifie qu'ils sont bien configurés.
Si vous constatez les valeurs "status": "toSet" sur les 2 sélecteurs, cela signifie que vos modifications DNS ne sont pas visibles. Reprenez à l'onglet « 4. Configurer l'enregistrement DNS ».
Si vous constatez bien les valeurs "status": "toFix" sur les 2 sélecteurs, cela signifie que les enregistrements CNAME ont bien été détectés dans la zone DNS de votre nom de domaine mais que les valeurs sont incorrectes. Reprenez à l'onglet « 4. Configurer l'enregistrement DNS ».

[Success]

Vous avez maintenant effectué toutes les manipulations pour activer le DKIM. Pour s'assurer que celui-ci est bien activé, vérifiez son état en retournant à l'onglet de l'étape « 2. Vérifier l'état de l'opération DKIM » pour vérifier que la valeur status: est bien en enabled. Si c'est bien le cas, votre DKIM est désormais actif.

Pour Exchange

Suivez les 5 étapes ci-dessous en cliquant sur chacun des onglets.

1. Liste des sélecteurs

2. Créer un sélecteur

3. Récupérer l'enregistrement DNS

4. Configurer l'enregistrement DNS

5. Activation du DKIM

Avant de créer un des sélecteurs pour votre nom de domaine, vous devez récupérer le nom qui leur est attribué automatiquement par la plateforme Exchange.

Pour cela, utilisez l'appel API suivant :

GET/email/exchange/{organizationName}/service/{exchangeService}/domain/{domainName}/dkimSelector

domainName : saisissez le nom de domaine attaché à votre plateforme Exchange sur lequel vous souhaitez activer DKIM.
exchangeService : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
organizationName : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».

Exemple de résultat :

"ovhex123456-selector1"
"ovhex123456-selector2"

Vous allez maintenant créer un sélecteur, générer sa paire de clés et l'enregistrement DNS associé au nom de domaine.

Pour cela, utilisez l'appel API suivant :

POST/email/exchange/{organizationName}/service/{exchangeService}/domain/{domainName}/dkim

- domainName : saisissez le nom de domaine attaché à votre plateforme Exchange sur lequel vous souhaitez activer le DKIM.

exchangeService : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
organizationName : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
"selectorName" : dans l'onglet EXAMPLE de la section REQUEST BODY, saisissez le nom d'un sélecteur que vous avez relevé à l'étape précédente (exemple: « ovhex123456-selector1 »).

Exemple de saisie :

{
   "autoEnableDKIM": false,
   "configureDkim": false,
   "selectorName": "ovhex123456-selector1"
}

Cliquez sur EXECUTE pour lancer la création du sélecteur.

Info

Nous vous conseillons de réaliser cette opération à deux reprises pour chacun des sélecteurs précédemment listés. Le deuxième sélecteur vous permettra d'effectuer un changement de paire de clés lorsque cela sera nécessaire. Nous vous invitons à consulter notre cas d'usage « Comment changer sa paire de clés DKIM » lorsque vous souhaiterez basculer sur le deuxième sélecteur.

Exemple de résultat :

status: "todo",
function: "addExchangeDomainDKIM",
id : 107924143,
"finishDate": null,
"todoDate": "2023-05-05T11:32:07+02:00"

Vous devez configurer manuellement la zone DNS de votre nom de domaine dans les cas suivants :

votre plateforme Exchange est liée à un nom de domaine qui est géré dans un autre compte client OVHcloud ;
votre plateforme Exchange est liée à un nom de domaine qui est géré dans un autre bureau d'enregistrement ;

Pour configurez votre zone DNS, vous devez récupérer les valeurs de l'enregistrement DNS pour chaque sélecteur si vous en avez créé deux. Pour cela, utilisez l'appel API suivant :

GET/email/exchange/{organizationName}/service/{exchangeService}/domain/{domainName}/dkim/{selectorName}

- domainName : saisissez le nom de domaine attaché à votre plateforme Exchange sur lequel vous souhaitez configurer le DKIM.

exchangeService : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
organizationName : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
selectorName : saisissez le nom du sélecteur que vous avez créé à l'étape précédente.

Exemple de résultat :

targetRecord: "ovhex123456-selector1._domainkey.1675.ac.dkim.mail.ovh.net"
recordType: "CNAME"
header: "from;to;subject;date"
taskPendingId: 108712689
status: "waitingRecord"
cnameIsValid: false
lastUpdate: "1970-01-01T00:00:00+01:00"
customerRecord: "ovhex123456-selector1._domainkey.mydomain.ovh"
selectorName: "ovhex1234565-selector1"

Récupérez les valeurs customerRecord et targetRecord dans un fichier texte. Passez à l'étape suivante.

Info

Il est possible que le status: soit en todo, cela n'a pas d'incidence sur la configuration de votre zone DNS.

Depuis l'espace client OVHcloud où est hébergé le nom de domaine de votre plateforme Exchange, dans l'onglet Web Cloud, cliquez sur Noms de domaine dans la colonne de gauche et sélectionnez le nom de domaine concerné.

Dirigez-vous vers l'onglet Zone DNS puis cliquez sur Ajouter une entrée dans la fenêtre qui s'affiche. Choisissez CNAME puis complétez selon les valeurs que vous avez relevées.

Si on prend les valeurs de l'exemple à l'étape "3.Récupérer l'enregistrement DNS":

customerRecord: "ovhex123456-selector1._domainkey.mydomain.ovh" correspond au sous-domaine de l'enregistrement CNAME. On garde seulement ovhex123456-selector1._domainkey car le .mydomain.ovh est déjà prérempli.
targetRecord: "ovhex123456-selector1._domainkey.1500.ab.dkim.mail.ovh.net" correspond à la cible de l'enregistrement. On y rajoute un point à la fin pour ponctuer la valeur. Cela donne ovhex123456-selector1._domainkey.1500.ab.dkim.mail.ovh.net.

Une fois les valeurs saisies, cliquez sur Suivant puis sur Valider.

Répétez cette opération pour le deuxième sélecteur si vous l'avez créé.

Si vous configurez votre zone DNS dans une interface tierce hors OVHcloud, votre enregistrement CNAME doit avoir la forme suivante :

ovhex123456-selector1._domainkey IN CNAME ovhex123456-selector1._domainkey.1500.ab.dkim.mail.ovh.net.

Warning

N'oubliez pas qu'une modification dans une zone DNS est soumise à un délai de propagation. Il est généralement court mais peut s'étendre jusqu'à 24 heures.

Warning

Depuis la section « API - Les différents états du DKIM » de ce guide, vérifiez que la valeur status: est bien en ready avant de pouvoir activer le DKIM.

Pour activer le DKIM, utilisez l'appel API suivant :

POST/email/exchange/{organizationName}/service/{exchangeService}/domain/{domainName}/dkim/{selectorName}/enable

- domainName : saisissez le nom de domaine attaché à votre plateforme Exchange sur lequel vous souhaitez activer le DKIM.

exchangeService : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
organizationName : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
selectorName : saisissez le nom du sélecteur que vous avez créé.

Exemple de résultat :

id: 108716876
todoDate: "2023-05-05T11:30:11+02:00"
finishDate: null
status: "todo"
function: "enableExchangeDKIM"

[Success]

Vous avez maintenant effectué toutes les manipulations pour activer le DKIM. Pour s'assurer que celui-ci est bien activé, consultez la section « API - Les différents états du DKIM » de ce guide pour vérifier que la valeur status: est bien en inProduction. Si c'est bien le cas, votre DKIM est désormais actif.

Si vous avez créé deux sélecteurs, le deuxième sélecteur devrait être en status: "ready".

Pour E-mail Pro

Suivez les 5 étapes ci-dessous en cliquant sur chacun des onglets.

1. Liste des sélecteurs

2. Créer un sélecteur

3. Récupérer l'enregistrement DNS

4. Configurer l'enregistrement DNS

5. Activation du DKIM

Avant de créer un des sélecteurs pour votre nom de domaine, vous devez récupérer le nom qui leur est attribué automatiquement par la plateforme E-mail Pro.

Pour cela, utilisez l'appel API suivant :

GET/email/pro/{service}/domain/{domainName}/dkim

service : saisissez le nom de votre plateforme E-mail Pro se présentant sous la forme « emailpro-zz111111-1 » .
domainName : saisissez le nom de domaine attaché à votre plateforme E-mail Pro sur lequel vous souhaitez activer DKIM.

Exemple de résultat :

"ovhemp123456-selector1"
"ovhemp123456-selector2"

Vous allez maintenant créer un sélecteur, générer sa paire de clés et l'enregistrement DNS associé au nom de domaine.

Info

Pour cela, utilisez l'appel API suivant :

POST/email/pro/{service}/domain/{domainName}/dkim

- domainName : saisissez le nom de domaine attaché à votre plateforme E-mail Pro sur lequel vous souhaitez activer le DKIM.

service : saisissez le nom de votre plateforme E-mail Pro se présentant sous la forme « emailpro-zz111111-1 » .
"selectorName" : Dans l'onglet EXAMPLE de la section REQUEST BODY, saisissez le nom d'un sélecteur que vous avez relevé à l'étape précédente. (exemple: « ovhemp123456-selector1 »).

Exemple de saisie :

{
   "autoEnableDKIM": false,
   "configureDkim": false,
   "selectorName": "ovhemp123456-selector1"
}

Cliquez sur EXECUTE pour lancer la création du sélecteur.

Info

Exemple de résultat :

status: "todo",
function: "addDomainDKIM",
id : 107924143,
"finishDate": null,
"todoDate": "2023-05-05T11:32:07+02:00"

Vous devez configurer manuellement la zone DNS de votre nom de domaine dans les cas suivants :

votre plateforme E-mail Pro est liée à un nom de domaine qui est géré dans un autre compte client OVHcloud ;
votre plateforme E-mail Pro est liée à un nom de domaine qui est géré dans un autre bureau d'enregistrement ;

Pour configurer votre zone DNS, vous devez récupérer les valeurs de l'enregistrement DNS pour chaque sélecteur si vous en avez créé deux. Pour cela, utilisez l'appel API suivant :

GET/email/pro/{service}/domain/{domainName}/dkim/{selectorName}

- service : saisissez le nom de votre plateforme E-mail Pro se présentant sous la forme « emailpro-zz111111-1 » .

domainName : saisissez le nom de domaine attaché à votre plateforme E-mail Proe sur lequel vous souhaitez configurer le DKIM.
selectorName : saisissez le nom du sélecteur que vous avez créé à l'étape précédente.

Exemple de résultat :

targetRecord: "ovhemp123456-selector1._domainkey.1675.ac.dkim.mail.ovh.net"
recordType: "CNAME"
header: "from;to;subject;date"
taskPendingId: 108712689
status: "waitingRecord"
cnameIsValid: false
lastUpdate: "1970-01-01T00:00:00+01:00"
customerRecord: "ovhemp123456-selector1._domainkey.mydomain.ovh"
selectorName: "ovhemp1234565-selector1"

Récupérez les valeurs customerRecord et targetRecord dans un fichier texte. Passez à l'étape suivante.

Info

Il est possible que le status: soit en todo, cela n'a pas d'incidence sur la configuration de votre zone DNS.

Depuis l'espace client OVHcloud où est hébergé le nom de domaine de votre plateforme E-mail Pro, dans l'onglet Web Cloud, cliquez sur Noms de domaine dans la colonne de gauche et sélectionnez le nom de domaine concerné.

Dirigez-vous vers l'onglet Zone DNS puis cliquez sur Ajouter une entrée dans la fenêtre qui s'affiche. Choisissez CNAME puis complétez selon les valeurs que vous avez relevées.

Si on prend les valeurs de l'exemple à l'étape "3.Récupérer l'enregistrement DNS":

customerRecord: "ovhemp123456-selector1._domainkey.mydomain.ovh" correspond au sous-domaine de l'enregistrement CNAME. On garde seulement ovhemp123456-selector1._domainkey car le .mydomain.ovh est déjà prérempli.
targetRecord: "ovhemp123456-selector1._domainkey.1500.ab.dkim.mail.ovh.net" correspond à la cible de l'enregistrement. On y rajoute un point à la fin pour ponctuer la valeur. Cela donne ovhemp123456-selector1._domainkey.1500.ab.dkim.mail.ovh.net.

Une fois les valeurs saisies, cliquez sur Suivant puis sur Valider.

Répétez cette opération pour le deuxième sélecteur si vous l'avez créé.

Si vous configurez votre zone DNS dans une interface tierce hors OVHcloud, votre enregistrement CNAME doit avoir la forme suivante :

ovhemp123456-selector1._domainkey IN CNAME ovhemp123456-selector1._domainkey.1500.ab.dkim.mail.ovh.net.

Warning

N'oubliez pas qu'une modification dans une zone DNS est soumise à un délai de propagation. Il est généralement court mais peut s'étendre jusqu'à 24 heures.

Warning

Depuis la section « API - Les différents états du DKIM » de ce guide, vérifiez que la valeur status: est bien en ready avant de pouvoir activer le DKIM.

Pour activer le DKIM, utilisez l'appel API suivant :

GET/email/pro/{service}/domain/{domainName}/dkim/{selectorName}

- service : saisissez le nom de votre plateforme E-mail Pro se présentant sous la forme « emailpro-zz111111-1 » .

domainName : saisissez le nom de domaine attaché à votre plateforme E-mail Pro sur lequel vous souhaitez activer le DKIM.
selectorName : saisissez le nom du sélecteur que vous avez créé.

Exemple de résultat :

id: 108716876
todoDate: "2023-05-05T11:30:11+02:00"
finishDate: null
status: "todo"
function: "enableDKIM"

[Success]

API - Les différents états du DKIM

Sélectionnez l'offre e-mail concernée dans les onglets suivants :

MX Plan et Zimbra

Exchange

E-mail Pro

Lors de vos opérations sur le DKIM de votre plateforme E-mail, utilisez l'appel API ci-dessous pour vérifier le statut actuel du DKIM.

GET/email/domain/{domain}/dkim

- domain : saisissez le nom de domaine attaché à votre service E-mail sur lequel le DKIM doit être présent.

Regardez ensuite la valeur status: générale dans le résultat :

disabled : le DKIM est désactivé, il n'a pas encore été configuré ou il a été désactivé par API.
modifying : la configuration du DKIM est en cours, il est nécessaire de patienter jusqu'à la fin du processus.
toConfigure : la configuration du DKIM est en attente des paramètres DNS du nom de domaine. Vous devez renseigner manuellement les enregistrements DNS dans la zone du nom de domaine. Pour cela, appuyez-vous sur l'étape 4 de « la configuration complète du DKIM » pour MX Plan et Zimbra.
enabled : le DKIM est configuré et fonctionnel.
error : Le processus d'installation a rencontré une erreur. Nous vous invitons à ouvrir un ticket auprès du support en précisant le nom de domaine concerné.

Au niveau des sélecteurs vous avez également 3 états possibles:

set : le sélecteur est bien configuré et actif.
toSet : le sélecteur n'est pas configuré dans la zone DNS du nom de domaine. Appuyez-vous sur l'étape 4 de « la configuration complète du DKIM » pour MX Plan et Zimbra.
toFix : le sélecteur a bien été configuré dans la zone DNS du nom de domaine mais les valeurs sont incorrectes. Appuyez-vous sur l'étape 4 de « la configuration complète du DKIM » pour MX Plan et Zimbra.

Lors de vos opérations sur le DKIM de votre plateforme Exchange, utilisez l'appel API ci-dessous pour vérifier le statut actuel du DKIM.

GET/email/exchange/{organizationName}/service/{exchangeService}/domain/{domainName}/dkim/{selectorName}

- domainName : saisissez le nom de domaine attaché à votre plateforme Exchange sur lequel le DKIM doit être présent.

exchangeService : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
organizationName : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
selectorName : saisissez le nom du sélecteur que vous avez créé.

Regardez ensuite la valeur status: dans le résultat :

todo : la tâche a été initialisée, elle va se lancer.
WaitingRecord : les enregistrements DNS sont en attente de configuration ou en cours de validation dans la zone DNS du nom de domaine. Une vérification automatique régulière est faite pour constater si l'enregistrement DNS est présent et correctement renseigné.
ready : les enregistrements DNS sont présents dans la zone. Le DKIM peut maintenant être activé.
inProduction : le DKIM est bien configuré et activé, il est donc pleinement opérationnel.
disabling : le DKIM est en cours de désactivation.
deleting : le DKIM est en cours de suppression.

Si vous rencontrez l'erreur suivante lorsque vous lancez l'appel API, cela signifie que le sélecteur n'existe pas ou a été supprimé. Il faudra le créer.

Not Found (404)
{ "message": "The requested object (selectorName = ovhemp123456-selector1) does not exist" }

Lors de vos opérations sur le DKIM de votre plateforme E-mail Pro, utilisez l'appel API ci-dessous pour vérifier le statut actuel du DKIM.

GET/email/pro/{service}/domain/{domainName}/dkim/{selectorName}

- service : saisissez le nom de votre plateforme E-mail Pro se présentant sous la forme « emailpro-zz111111-1 » .

domainName : saisissez le nom de domaine attaché à votre plateforme E-mail Pro sur lequel le DKIM doit être présent.
selectorName : saisissez le nom du sélecteur que vous avez créé .

Regardez ensuite la valeur status: dans le résultat :

todo : la tâche a été initialisée, elle va se lancer.
WaitingRecord : les enregistrements DNS sont en attente de configuration ou en cours de validation dans la zone DNS du nom de domaine. Une vérification automatique régulière est faite pour constater si l'enregistrement DNS est présent et correctement renseigné.
ready : les enregistrements DNS sont présents dans la zone. Le DKIM peut maintenant être activé.
inProduction : le DKIM est bien configuré et activé, il est donc pleinement opérationnel.
disabling : le DKIM est en cours de désactivation.
deleting : le DKIM est en cours de suppression.

Si vous rencontrez l'erreur suivante lorsque vous lancez l'appel API, cela signifie que le sélecteur n'existe pas ou a été supprimé. Il faudra le créer.

Not Found (404)
{ "message": "The requested object (selectorName = ovhemp123456-selector1) does not exist" }

API - Activer ou changer un sélecteur DKIM

Warning

Le sélecteur DKIM doit être en statut ready avant de pouvoir être activé.

Sélectionnez l'offre e-mail concernée parmi les onglets suivants :

MX Plan et Zimbra

Exchange

E-mail Pro

Pour activer le DKIM, utilisez l'appel API suivant :

PUT/email/domain/{domain}/dkim/enable

domain : saisissez le nom de domaine attaché à votre service E-mail sur lequel le DKIM doit être présent.

Exemple de résultat :

{
 "function": "domain/enableDKIM",
 "id": 123456789,
 "domain": "guidesteam.ovh",
 "status": "todo"
}

Pour activer le DKIM sur un sélecteur, utilisez l'appel API suivant :

POST/email/exchange/{organizationName}/service/{exchangeService}/domain/{domainName}/dkim/{selectorName}/enable

- domainName : saisissez le nom de domaine attaché à votre plateforme Exchange sur lequel vous souhaitez activer le DKIM.

exchangeService : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
organizationName : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
selectorName : saisissez le nom d'un sélecteur existant.

Pour activer le DKIM sur un sélecteur, utilisez l'appel API suivant :

POST/email/pro/{service}/domain/{domainName}/dkim/{selectorName}/enable

- domainName : saisissez le nom de domaine attaché à votre plateforme E-mail Pro sur lequel le DKIM doit être présent.

selectorName : saisissez le nom du sélecteur que vous avez créé .
service : saisissez le nom de votre plateforme E-mail Pro se présentant sous la forme « emailpro-zz111111-1 » .

Info

Lors d'une rotation de sélecteur DKIM, vous pouvez directement activer le deuxième sélecteur que vous avez créé afin de basculer dessus, tout en conservant le premier sélecteur qui restera actif le temps que tous les e-mails délivrés avec celui-ci soient bien analysés par leur destinataire.

API - Désactiver et supprimer le DKIM

Warning

Pour les offres Exchange et E-mail Pro

Le sélecteur DKIM doit être en statut inProduction ou ready avant de pouvoir être désactivé.

Sélectionnez l'offre e-mail concernée parmi les onglets suivants :

MX Plan et Zimbra

Exchange

E-mail Pro

Si vous souhaitez désactiver le DKIM sans supprimer les sélecteurs et leur paire de clés, utilisez l'appel API suivant :

PUT/email/domain/{domain}/dkim/disable

domain : saisissez le nom de domaine attaché à votre service E-mail sur lequel le DKIM doit être présent.

Exemple de résultat :

{
 "domain": "guidesteam.ovh",
 "id": 174219594,
 "function": "domain/disableDKIM",
 "status": "todo"
}

Si vous souhaitez désactiver le DKIM sans supprimer le sélecteur et sa paire de clés, utilisez l'appel API suivant:

POST/email/exchange/{organizationName}/service/{exchangeService}/domain/{domainName}/dkim/{selectorName}/disable

- domainName : saisissez le nom de domaine attaché à votre plateforme Exchange.

exchangeService : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
organizationName : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
selectorName : saisissez le nom du sélecteur que vous souhaitez désactiver.

Si vous souhaitez supprimer le sélecteur DKIM et sa paire de clés, utilisez l'appel API suivant :

DELETE/email/exchange/{organizationName}/service/{exchangeService}/domain/{domainName}/dkim/{selectorName}

- domainName : saisissez le nom de domaine attaché à votre plateforme Exchange.

exchangeService : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
organizationName : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « >> private-zz111111-1 ».
selectorName : saisissez le nom du sélecteur que vous souhaitez supprimer.

Si vous souhaitez désactiver le DKIM sans supprimer le sélecteur et sa paire de clés, utilisez l'appel API suivant :

POST/email/pro/{service}/domain/{domainName}/dkim/{selectorName}/disable

- domainName : saisissez le nom de domaine attaché à votre plateforme E-mail Pro.

selectorName : saisissez le nom du sélecteur que vous souhaitez désactiver.
service : saisissez le nom de votre plateforme E-mail Pro se présentant sous la forme « emailpro-zz111111-1 » .

Si vous souhaitez supprimer le sélecteur DKIM et sa paire de clés, utilisez l'appel API suivant :

DELETE/email/pro/{service}/domain/{domainName}/dkim/{selectorName}

- domainName : saisissez le nom de domaine attaché à votre plateforme E-mail Pro.

selectorName : saisissez le nom du sélecteur que vous souhaitez supprimer.
service : saisissez le nom de votre plateforme E-mail Pro se présentant sous la forme « emailpro-zz111111-1 » .

Configurer le DKIM pour une offre e-mail hors de votre compte OVHcloud

Si vous souhaitez configurer votre zone DNS afin d'y ajouter un enregistrement DKIM pour votre offre, suivez les instructions ci-dessous.

Depuis l'espace client OVHcloud, cliquez sur l'onglet Web Cloud puis sur Noms de domaine dans la colonne de gauche et sélectionnez le nom de domaine concerné.

Cliquez sur l'onglet Zone DNS puis sur Ajouter une entrée. Il existe 3 manières d'ajouter un enregistrement pour paramétrer le DKIM dans votre zone DNS :

un enregistrement DKIM : configuration permettant de visualiser l'ensemble des paramètres d'un enregistrement DKIM.
un enregistrement TXT : enregistrement à utiliser lorsque l'ensemble des paramètres DKIM vous ont été fournis.
un enregistrement CNAME : enregistrement utilisé pour une offre e-mail OVHcloud ou un serveur e-mail Microsoft.

Enregistrement DKIM

Cet enregistrement est nommé DKIM sur l'interface mais il s'agit en réalité d'un enregistrement TXT en sortie. L'enregistrement DKIM a pour but de faciliter la lecture des différents éléments de paramétrage du DKIM en les présentant sous forme de cases indépendantes.

Sous-domaine : renseignez le nom du sélecteur DKIM et ajoutez ._domainkey en suffixe, votre nom de domaine s'ajoutera automatiquement à la fin.

exemple:

  selector-name._domainkey.mydomain.ovh.

Version (v=) : sert à indiquer la version du DKIM. Il est recommandé de l'utiliser et sa valeur par défaut est DKIM1.
Si spécifié, ce tag doit être placé en premier dans l'enregistrement et doit être égal à "DKIM1" (sans les guillemets). Les enregistrements qui commencent par un tag "v=" avec une autre valeur doivent être ignorés.
Granularité (g=) : permet de spécifier la partie « local-part » d'une adresse e-mail, c'est-à-dire la partie située avant le « @ ».
Elle permet de spécifier l'adresse e-mail ou les adresses e-mail qui sont autorisées à signer un message électronique avec la clé DKIM du sélecteur.
La valeur par défaut de "g=" est "*", ce qui signifie que toutes les adresses e-mail sont autorisées à utiliser la clé de signature DKIM.
En indiquant une valeur spécifique pour "g=", on peut limiter l'utilisation de la clé à une partie locale d'adresse e-mail spécifique ou à une plage d'adresses e-mail spécifiques en utilisant des caractères génériques (par exemple : "*-group").
Algorithme (hash) (h=) : permet de spécifier les algorithmes de hachage utilisés pour signer les en-têtes d'e-mail. Cette balise permet de définir une liste d'algorithmes de hachage qui seront utilisés pour générer une signature DKIM pour un message donné.
Type de clé (k=) : spécifie l'algorithme de signature utilisé pour signer les messages électroniques sortants. Il permet aux destinataires de savoir comment le message a été signé et quelle est la méthode utilisée pour vérifier son authenticité.
Les valeurs possibles pour le tag "k=" comprennent "rsa" pour l'algorithme de signature RSA et "ed25519" pour l'algorithme de signature Ed25519. Le choix de l'algorithme dépend de la politique de sécurité de l'expéditeur et de la prise en charge par le destinataire.
Notes (n=) : sert à inclure des notes d'intérêt pour les administrateurs qui gèrent le système de clés DKIM.
Ces notes peuvent être utiles pour des raisons de documentation ou pour aider les administrateurs à comprendre ou à gérer le fonctionnement de DKIM. Les notes incluses dans n= ne sont pas interprétées par les programmes et n'affectent pas le fonctionnement du DKIM.
Clé publique (base64) (p=) : utilisée pour renseigner les données de clé publique DKIM, qui sont encodées en base64.
Ce tag est obligatoire dans la signature DKIM et permet aux destinataires de la signature de récupérer la clé publique nécessaire pour vérifier l'authenticité du message signé.
Révoquer la clé publique : si une clé publique DKIM a été révoquée (par exemple en cas de compromission de la clé privée), une valeur vide doit être utilisée pour le tag "p=", indiquant que cette clé publique n'est plus valide. Les destinataires doivent alors retourner une erreur pour toute signature DKIM faisant référence à une clé révoquée.
Type de service (s=): La balise "s=" (Service Type) est optionnelle et n'est pas présente par défaut. Elle permet de spécifier le ou les types de services au(x)quel(s) cet enregistrement DKIM s'applique.
Les types de services sont définis en utilisant une liste de mots-clés séparés par des deux-points ":".
Le destinataire doit ignorer cet enregistrement si le type de service approprié n'est pas répertorié.
La balise "s=" est destinée à restreindre l'utilisation des clés pour d'autres fins, dans le cas où l'utilisation du DKIM serait définie pour d'autres services à l'avenir.
Les types de services actuellement définis sont "*" (tous les types de services), "email" (courrier électronique).
Mode test (t=y) : permet aux titulaires du nom de domaine de tester la mise en place du DKIM sans risquer de voir les messages rejetés ou marqués comme SPAM si la vérification de signature DKIM échoue.
Lorsque le flag "t=y" est utilisé, le destinataire ne doit pas traiter différemment les messages signés en mode de test et les messages non signés. Cependant, le destinataire peut suivre le résultat du mode de test pour aider les signataires.
Sous-domaines (t=s) : permet de restreindre l'utilisation de la signature DKIM au nom de domaine uniquement (par exemple : @mydomain.ovh) ou de permettre l'envoi depuis le nom de domaine et ses sous-domaines (par exemple : @mydomain.ovh, @test.mydomain.ovh, @other.mydomain.ovh, etc.).

Enregistrement TXT

Il s'agit du type d'enregistrement natif utilisé pour paramétrer le DKIM dans la zone DNS de votre nom de domaine. Il est nécessaire de bien maitriser sa syntaxe pour le compléter.

Ce type de paramétrage DKIM est conseillé lorsque les informations à saisir vous ont été communiquées par le fournisseur du service e-mail.

Pour bien comprendre la composition de l'enregistrement DKIM, consultez la partie précédente de ce guide intitulée « Enregistrement DKIM ».

Exemple d'un enregistrement DKIM

sous-domaine :

selector-name._domainkey.mydomain.ovh.

cible :

v=DKIM1;t=s;p= MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA77VDAIfyhjtoF0DIE5V7 rev1EKk4L0nxdBpD5O/jPrM4KP0kukeuB6IMpVplkkq52MSDeRcjoO50h0DmwZOr RUkyGjQwOnAh0VhY3fqkuwBYftEX7vWo8C2E1ylzimABkwPpSL62jZ1DheoXcil9 1M35wWBKtlYdXVedKjCQKOEnwTo+0hdNe38rU9NMgq6nbTIMjDntvxoVI+yF3kcx q/VpAY8BIYbcAXkVFvUyfUBABnnKpf0SfblsfcLW0Koy/FRxPDFOvnjNxXeOxMFR UI6K6PaW2WvtbJG2v+gHLY5M4tB0+/FNJU9emZfkPOk3DmRhZ8ENi7+oZa2ivUDj OQIDAQAB

Enregistrement CNAME

L'enregistrement CNAME est un alias. Cela signifie que la valeur cible renvoie vers une URL qui fournira elle-même l'enregistrement DKIM au serveur qui interrogera l'enregistrement CNAME. Ce type d'enregistrement CNAME pour paramétrer le DKIM est fréquent dans le cadre de l'utilisation d'un serveur e-mail Microsoft.

Il s'agit précisément du type d'enregistrement utilisé pour activer le DKIM sur un nom de domaine déclaré pour une offre Exchange OVHcloud. Ce procédé permet à votre fournisseur de solution e-mail de gérer pour vous la sécurité et la mise à jour du DKIM.

Tester votre DKIM

Nous vous conseillons d'envoyer un e-mail depuis un compte de votre plateforme Exchange vers une adresse e-mail qui vérifie la signature DKIM lors de la réception.

Voici ce que vous pourrez trouver dans l'en-tête de l'e-mail reçu :

ARC-Authentication-Results: i=1; mx.example.com;
       dkim=pass header.i=@mydomain.ovh header.s=ovhex123456-selector1 header.b=KUdGjiMs;
       spf=pass (example.com: domain of test-dkim@mydomain.ovh designates 54.36.141.6 as permitted sender) smtp.mailfrom=test-dkim@mydomain.ovh
Return-Path: <test-dkim@mydomain.ovh>

Pour récupérer l'en-tête d'un e-mail, consulter notre guide « Récupérer l'en-tête d'un e-mail ».

Cas d'usages

Comment et pourquoi changer la paire de clés DKIM sur mon offre ?

Warning

Cette question concerne uniquement les offres Exchange et E-mail Pro.

Lorsque vous activez pour la première fois le DKIM sur votre service e-mail, il est possible de créer 2 sélecteurs qui contiennent chacun une paire de clés. Le deuxième sélecteur sert de successeur à celui qui est en cours d'utilisation.

Pour éviter les tentatives de déchiffrement de la clé DKIM, il est conseillé de changer régulièrement de paire de clés. Pour cela, assurez-vous d'avoir bien configuré vos 2 sélecteurs en vérifiant que le premier est en status inProductionet le second en status ready. Vous pouvez vérifier cet état en vous référant à la section « API - Les différents états du DKIM ».

Cliquez sur l'onglet ci-dessous correspondant à votre offre.

Exchange

E-mail Pro

Pour basculer sur le deuxième sélecteur, utilisez l'appel API suivant :

POST/email/exchange/{organizationName}/service/{exchangeService}/domain/{domainName}/dkim/{selectorName}/enable

- domainName : saisissez le nom de domaine attaché à votre plateforme Exchange.

exchangeService : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
organizationName : saisissez le nom de votre plateforme Exchange se présentant sous la forme « hosted-zz111111-1 » ou « private-zz111111-1 ».
selectorName : saisissez le nom du sélecteur sur lequel vous souhaitez basculer.

Pour basculer sur le deuxième sélecteur, utilisez l'appel API suivant :

POST/email/pro/{service}/domain/{domainName}/dkim/{selectorName}/enable

- domainName : saisissez le nom de domaine attaché à votre plateforme E-mail Pro sur lequel le DKIM doit être présent.

selectorName : saisissez le nom du sélecteur sur lequel vous souhaitez basculer.
service : saisissez le nom de votre plateforme E-mail Pro se présentant sous la forme « emailpro-zz111111-1 ».

Après avoir basculé sur le nouveau sélecteur, conservez l'ancien durant 7 jours avant de le supprimer et d'en créer un nouveau.

Pourquoi le DKIM n'est pas fonctionnel et apparait en rouge dans l'espace client ?

Warning

Cette question concerne uniquement les offres Exchange et E-mail Pro.

Vous constatez que vos e-mails ne sont pas signés par le DKIM, malgré son activation ou son paramétrage. Dans un premier temps, connectez-vous à votre espace client pour vérifier l'état du DKIM.

Cliquez sur l'onglet ci-dessous correspondant à votre offre, pour constater l'état du DKIM sur votre plateforme e-mail.

Exchange

E-mail Pro

Connectez-vous à votre espace client OVHcloud.
Rendez-vous dans la partie Web Cloud.
Dans la rubrique MICROSOFT, cliquez sur Exchange.
Sélectionnez la plateforme concernée.
Enfin, allez dans l'onglet Domaines associés.

Dans la rubrique Domaines associés, vérifiez la couleur de l'icône DKIM à droite du nom de domaine concerné (voir l'image ci-dessous).

Voici les 4 états ayant pour résultat l'icône DKIM en rouge dans votre espace client, Cliquez sur l'onglet correspondant à votre code erreur :

501

502

503

504

« Only one dkim selector has been initialized »

Seul un sélecteur DKIM est présent dans votre configuration. Pour nous permettre la bascule vers une nouvelle clé lorsque cela est nécessaire, il est demandé de configurer les 2 sélecteurs fournis par le service.

Pour corriger cette erreur :

Vérifiez l'état des sélecteurs DKIM pour identifier celui qui doit être configuré. Pour cela, aidez-vous de la partie « API - Les différents états du DKIM » de ce guide.
Une fois que vous avez identifié le sélecteur à configurer, suivez les étapes de la partie « API - Configuration complète du DKIM » sur ce guide, selon votre offre (Exchange ou E-mail Pro), en l'appliquant uniquement au sélecteur concerné. Patientez maximum 24 heures après configuration du sélecteur.

« CNAME record is wrong »

La valeur de l'enregistrement CNAME nécessaire à la configuration du DKIM n'a pas été saisie correctement. Vous devez configurer correctement la zone DNS du nom de domaine attaché. Pour configurer votre zone DNS, récupérez les valeurs de l'enregistrement CNAME qui s'affiche :

Si on prend l'exemple de la capture ci-dessus, le nom de domaine est « mydomain.ovh » et il est demandé de configurer le sélecteur « 2 ». Ici, il faut ajouter un enregistrement CNAME ayant pour sous-domaine la valeur ovhex1234567-selector2.domainkey.mydomain.ovh et comme cible ovhex1234567-selector2.domainkey.7890.dkim.mail.ovh.net.

Une fois votre zone DNS configurée, patientez le temps de la propagation DNS (24h maximum)

« One CNAME record is missing »

La valeur de l'enregistrement CNAME nécessaire à la configuration du DKIM est manquante. Vous devez configurer la zone DNS du nom de domaine attaché. Pour configurer votre zone DNS, récupérez les valeurs de l'enregistrement CNAME qui s'affiche :

Une fois votre zone DNS configurée, patientez le temps de la propagation DNS (24h maximum)

Depuis l'interface API OVHcloud, comment comprendre l'état du DKIM qui ne fonctionne pas ?

Si vous utilisez les API OVHcloud pour configurer votre DKIM et que celui-ci n'est pas fonctionnel aidez-vous de la rubrique « API - Les différents états du DKIM » de ce guide pour identifier l'état de vos sélecteurs.

Retrouvez ci-dessous les états qui peuvent bloquer le fonctionnement de votre DKIM et la solution appropriée à chaque situation.

Exchange et E-mail Pro

MX Plan et Zimbra

WaitingRecord : Les enregistrements DNS sont en attente de configuration ou en cours de validation dans la zone DNS du nom de domaine. Une vérification automatique régulière est faite pour constater si l'enregistrement DNS est présent et correctement renseigné. Selon vote offre, suivez l'étape 5 dans la section « API - Configuration complète du DKIM » pour configurer correctement la zone DNS du nom de domaine concerné.
ready : Les enregistrements DNS sont présents dans la zone. Le DKIM peut maintenant être activé. Il vous suffira d'activer le sélecteur en vous appuyant sur la section « API - Activer ou changer un sélecteur DKIM ».
deleting : Le DKIM est en cours de suppression. Après suppression, il vous faudra suivre la section « API - Configuration complète du DKIM ».
disabling : Le DKIM est en cours de désactivation. Après cette opération, vous pourrez activer le sélecteur en vous appuyant sur la section « API - Activer ou changer un sélecteur DKIM ».
todo : La tâche a été initialisée, elle doit se lancer. Au-delà de 24 heures, si votre sélecteur est toujours dans cet état, nous vous invitons à ouvrir un ticket auprès du support en précisant le numéro du sélecteur concerné.

disabled : Le DKIM est désactivé, il n'a pas encore été configuré ou il a été désactivé par API.
modifying : La configuration du DKIM est en cours, il est nécessaire de patienter jusqu'à la fin du processus.
toConfigure : La configuration du DKIM est en attente des paramètres DNS du nom de domaine. Vous devez renseigner manuellement les enregistrements DNS dans la zone du nom de domaine. Pour cela; appuyez-vous sur l'étape « Configuration complète du DKIM » de ce guide.
error : Le processus d'installation a rencontré une erreur. Nous vous invitons à ouvrir un ticket auprès du support en précisant le nom de domaine concerné.

Au niveau des sélecteurs vous avez également 2 états relatifs à une erreur:

toSet : Le sélecteur n'est pas configuré dans la zone DNS du nom de domaine. Appuyez-vous sur l'étape 4 de « la configuration complète du DKIM » pour MX Plan et Zimbra.
toFix : Le sélecteur a bien été configuré dans la zone DNS du nom de domaine mais les valeurs sont incorrectes. Appuyez-vous sur l'étape 4 de « la configuration complète du DKIM » pour MX Plan et Zimbra.

Aller plus loin

Échangez avec notre communauté d'utilisateurs.

Was this page helpful?

Améliorer la sécurité des e-mails via un enregistrement DKIM

Objectif

Prérequis

Accès à l'espace client OVHcloud

En pratique

Comment le DKIM fonctionne-t-il ?

Configurer le DKIM automatiquement pour une offre e-mail OVHcloud

Configurer le DKIM par API pour une e-mail OVHcloud

API - Configuration complète du DKIM

Pour MX Plan et Zimbra

Pour Exchange

Pour E-mail Pro

API - Les différents états du DKIM

API - Activer ou changer un sélecteur DKIM

API - Désactiver et supprimer le DKIM

Configurer le DKIM pour une offre e-mail hors de votre compte OVHcloud

Enregistrement DKIM

Enregistrement TXT

Enregistrement CNAME

Tester votre DKIM

Cas d'usages

Comment et pourquoi changer la paire de clés DKIM sur mon offre ?

Pourquoi le DKIM n'est pas fonctionnel et apparait en rouge dans l'espace client ?

Depuis l'interface API OVHcloud, comment comprendre l'état du DKIM qui ne fonctionne pas ?

Aller plus loin

Share your feedback on the new documentation