Les clés sont générées dans votre navigateur et n'en sortent jamais

Outil gratuit

Générateur DKIM

Créez une clé DKIM et son enregistrement DNS sans que la clé ne touche jamais un serveur

Générez une paire de clés DKIM RSA 2048 ou Ed25519 avec la cryptographie de votre propre navigateur. Téléchargez la clé privée au format PEM, copiez l'enregistrement TXT selector._domainkey, publiez-le et commencez à signer.

Le sélecteur nomme votre clé dans le DNS. Choisissez librement — un sélecteur daté comme dkim-202608 rend la prochaine rotation évidente.

Type de clé

La paire de clés est générée dans votre navigateur par l'API WebCrypto et n'en sort jamais. Cette page n'effectue aucune requête réseau pendant la génération : aucun envoi, aucune balise, aucune requête DNS. La clé privée n'existe que sur cette page tant que vous ne l'avez pas téléchargée.

Comment configurer DKIM avec ce générateur

De zéro aux emails signés en quatre étapes : générer, publier, signer, vérifier.

  1. 1

    Générez la paire de clés

    Choisissez un nom de sélecteur et un type de clé, puis générez. RSA 2048 bits est la valeur sûre ; Ed25519 uniquement si vous savez que vos destinataires le prennent en charge.

  2. 2

    Publiez l'enregistrement TXT

    Créez un enregistrement TXT sur {selector}._domainkey dans votre zone DNS avec la valeur générée. La propagation DNS prend en général de quelques minutes à quelques heures.

  3. 3

    Installez la clé privée

    Téléchargez le fichier PEM et configurez votre serveur de messagerie, OpenDKIM, rspamd ou votre passerelle pour signer les emails sortants avec, en utilisant le même nom de sélecteur.

  4. 4

    Vérifiez l'enregistrement

    Lancez le vérificateur DKIM sur votre domaine et votre sélecteur pour confirmer que la clé publiée est lisible, de la force attendue et active.

Quand générer votre propre clé DKIM

La plupart des fournisseurs hébergés vous donnent un enregistrement ou un CNAME tout prêt. Vous devez générer votre propre clé quand vous :

  • Exploitez votre propre serveur de messagerie avec Postfix et OpenDKIM ou rspamd.
  • Configurez une passerelle ou un boîtier de messagerie qui signe en sortie.
  • Effectuez la rotation d'une clé existante vers un nouveau sélecteur, planifiée ou après une compromission.
  • Remplacez une clé faible de 1024 bits par une clé de 2048 bits.
  • Ajoutez une clé Ed25519 en complément de votre clé RSA pour les destinataires compatibles RFC 8463.
  • Mettez en place DKIM dans un environnement de test sans toucher aux clés de production.

Comprendre les clés DKIM

Ce que signifie l'enregistrement généré

Un enregistrement de clé DKIM comporte trois balises : v=DKIM1 déclare la version de l'enregistrement et vient en premier, k= indique le type de clé (rsa ou ed25519), et p= porte la clé publique encodée en base64. Pour RSA, la valeur p= est le SubjectPublicKeyInfo encodé en DER — la même sortie qu'openssl rsa -pubout. Un p= vide a un sens défini : la clé est révoquée.

Pourquoi RSA 2048 bits est le choix par défaut

La RFC 8301, qui a mis à jour la cryptographie d'origine de DKIM, fixe les règles actuelles : les vérificateurs doivent rejeter les clés de moins de 1024 bits, les signataires doivent utiliser au moins 1024 bits, et devraient utiliser 2048 bits ou plus. Une clé RSA de 1024 bits est encore vérifiée partout mais considérée comme faible face à la factorisation moderne ; 2048 bits est la taille à générer aujourd'hui. Des clés plus longues fonctionnent aussi — les vérificateurs doivent accepter jusqu'à 4096 bits — mais apportent peu en pratique et compliquent la publication DNS.

Les clés Ed25519 et l'état de leur prise en charge

La RFC 8463 a ajouté Ed25519 comme second algorithme DKIM : des clés de 256 bits d'une sécurité comparable à des clés RSA bien plus grandes, et une valeur p= assez courte pour ignorer les limites des enregistrements TXT. Deux réserves. Dans l'enregistrement DNS, p= est la clé publique brute de 32 octets encodée en base64 — pas l'enveloppe DER utilisée pour RSA, une différence qui casse beaucoup de configurations artisanales. Et la prise en charge côté réception reste l'exception : une clé Ed25519 se publie en complément d'une clé RSA, en signant avec les deux, pas seule. Côté navigateur, la génération Ed25519 via WebCrypto fonctionne dans les versions actuelles de Chrome et Edge (137+), Firefox (130+) et Safari (17+) ; cet outil détecte la prise en charge et désactive l'option quand elle manque.

Enregistrements TXT et limite des 255 caractères

Une chaîne de caractères unique dans un enregistrement TXT porte au maximum 255 octets, et une valeur p= RSA 2048 bits dépasse ce seuil. C'est prévu : un enregistrement TXT peut contenir plusieurs chaînes, que les vérificateurs DKIM concatènent avant analyse. La plupart des fournisseurs DNS découpent automatiquement les valeurs longues. Si le vôtre refuse l'enregistrement, coupez la valeur en deux chaînes entre guillemets — la coupure peut tomber n'importe où, même au milieu de la clé.

La rotation des clés DKIM

La rotation consiste à publier une nouvelle clé sous un nouveau sélecteur, à basculer votre signataire dessus, et seulement ensuite à révoquer l'ancien sélecteur en vidant sa balise p=. Gardez l'ancien enregistrement en ligne jusqu'à ce que les emails signés avec aient quitté les files d'attente des destinataires — quelques jours par habitude. Ne réutilisez jamais un nom de sélecteur pour une nouvelle clé, et ne révoquez jamais l'ancienne clé avant que la nouvelle ne signe de façon vérifiée : ces deux erreurs causent la plupart des pannes DKIM auto-infligées.

Manipuler la clé privée

La clé privée a sa place sur le serveur de signature et nulle part ailleurs. Restreignez ses permissions de fichier au processus de signature, ne la versionnez jamais dans un dépôt, et ne la collez jamais dans le DNS — l'enregistrement ne contient que la moitié publique. Si la clé privée fuite, n'importe qui peut signer des emails au nom de votre domaine jusqu'à la rotation : générez immédiatement une clé de remplacement sous un nouveau sélecteur et révoquez celle qui a été exposée.

La génération n'est que la moitié du travail. Après publication, confirmez l'enregistrement avec le vérificateur DKIM — il récupère l'enregistrement tel que les destinataires le voient, décode le type et la force de la clé, et détecte les valeurs tronquées ou mal découpées avant qu'elles ne coûtent en délivrabilité.

Questions fréquentes

Que crée ce générateur DKIM ?
Deux choses : une clé privée au format PEM PKCS#8, à installer sur le serveur ou le logiciel qui signe vos emails sortants, et la clé publique correspondante mise en forme comme valeur d'enregistrement TXT (v=DKIM1; k=rsa; p=...) à publier sur {selector}._domainkey.{domain}.
Est-il sûr de générer une clé DKIM dans un navigateur ?
La paire de clés est générée par l'API WebCrypto de votre propre navigateur, sur votre machine. Cette page n'effectue aucune requête réseau pendant la génération : la clé privée n'est jamais envoyée, ni journalisée, et elle disparaît quand vous quittez la page si vous ne la téléchargez pas. Si votre politique de sécurité exige que les clés soient générées sur le serveur de signature lui-même, utilisez openssl sur place — le format de l'enregistrement est identique.
Dois-je choisir RSA ou Ed25519 ?
RSA 2048 bits, sauf si vous savez que vos destinataires prennent en charge Ed25519. La RFC 8301 impose aux signataires des clés RSA d'au moins 1024 bits et recommande 2048 bits ou plus ; tous les vérificateurs DKIM prennent en charge RSA. Ed25519 (RFC 8463) offre une sécurité équivalente avec des clés bien plus courtes, mais sa prise en charge côté réception reste limitée : publiez-la en complément d'une clé RSA, pas à sa place.
Comment publier l'enregistrement généré ?
Créez un enregistrement TXT dans la zone DNS de votre domaine avec le nom d'hôte {selector}._domainkey (certains fournisseurs DNS demandent le nom complet {selector}._domainkey.{domain}) et la valeur générée comme contenu. Configurez ensuite votre serveur de messagerie ou votre logiciel d'envoi pour signer avec la clé privée et ce nom de sélecteur.
Pourquoi mon fournisseur DNS refuse-t-il l'enregistrement, jugé trop long ?
Une chaîne de caractères unique dans un enregistrement TXT contient au maximum 255 octets, et une clé publique RSA 2048 bits produit une valeur plus longue. La RFC 6376 prévoit ce cas : la valeur est découpée en plusieurs chaînes entre guillemets, que les vérificateurs concatènent. La plupart des fournisseurs DNS découpent automatiquement ; si le vôtre ne le fait pas, coupez la valeur p= en deux chaînes entre guillemets, à n'importe quel endroit.
Que faire du fichier de clé privée ?
Installez-le sur ce qui signe vos emails sortants : OpenDKIM ou rspamd sur un serveur auto-hébergé, ou la configuration DKIM de votre passerelle de messagerie. Gardez-le secret et ne le publiez jamais dans le DNS — seul l'enregistrement public y a sa place. Si la clé est compromise, générez-en une nouvelle sous un nouveau sélecteur et révoquez l'ancien enregistrement.
Ce générateur DKIM est-il gratuit ?
Oui. Le générateur est entièrement gratuit, sans inscription. La génération se déroulant intégralement dans votre navigateur, nous ne voyons jamais vos clés — il n'y a rien à stocker de notre côté.

Prouvez maintenant que votre signature DKIM fonctionne

Un enregistrement publié ne garantit pas que les destinataires acceptent vos signatures. Créez un compte gratuit pour lire vos rapports agrégés DMARC et voir les taux de réussite DKIM par expéditeur. Les offres payantes vous alertent dès qu'un enregistrement DKIM, SPF, DMARC ou MX change — y compris une clé révoquée ou cassée.

Commencer gratuitement