Sélecteur DKIM réécrit ou clé tournée par quelqu'un d'autre
Un sélecteur DKIM réécrit, ou une clé tournée par quelqu’un d’autre : les mails légitimes cassent, ou l’attaquant signe. Comparez au panel mail. Une clé dans le DNS que personne ne connaît est un signal d’accès registrar — pas un « bug Google ».
Les mails légitimes cassent, ou l'attaquant signe. Comparez au panel mail. Une clé DKIM dans le DNS que personne ne connaît est un signal d'accès registrar.
Ce qu’un sélecteur fait
DKIM signe le message avec une clé privée côté expéditeur. Le DNS publie la clé publique sous `sélecteur._domainkey.domaine.fr`. Plusieurs sélecteurs peuvent coexister (s1, google, brevo, k1). Le message dit lequel utiliser. Si le DNS n’a plus la bonne clé, la signature échoue. Si une clé inconnue est là, quelqu’un peut signer « comme vous » s’il a la privée correspondante — ou simplement vous faire échouer en cassant la bonne.
Après incident, on ouvre la zone et on liste tous les `._domainkey`. On les compare à ce que les panneaux d’envoi affichent. L’écart est le dossier. Exportez la zone avant de corriger : un TXT trop long mal recollé est plus fréquent qu’un génie du mal, et l’export permet de revenir en arrière sans inventer.
On ne publie pas de méthode pour voler une clé. On compare vos TXT à vos prestataires.
Les mails légitimes qui se mettent à échouer
Quelqu’un a régénéré la clé chez Microsoft / OVH / Brevo et n’a pas mis à jour le DNS — ou l’inverse (DNS tourné, panel ancien). Vos devis tombent en spam ou sont rejetés. Ça ressemble à une blacklist. C’est un casse d’auth. Testez l’en-tête DKIM d’un mail que vous venez d’envoyer, pas un test Gmail de 2024.
Un prestataire « a nettoyé le DNS » après le piratage et a jeté le TXT google._domainkey. Classique. Restaurez depuis la console Google, pas depuis une sauvegarde de zone de 2019.
SPF peut être bon et DKIM mort : DMARC échoue quand même si vous exigez l’alignement. Lisez les deux.
Une clé que personne n’a créée
Un sélecteur `mail`, `k2`, un hash, apparu pendant la fenêtre d’intrusion : accès DNS / registrar. Tournez les accès registrar (et le compte Cloudflare). Considérez que d’autres enregistrements ont pu bouger (MX, A, wildcard, validations). Un MX modifié le même jour que le DKIM est plus urgent que le sélecteur : le courrier humain part ailleurs.
Retirez le TXT inconnu après copie de la zone (preuve). Si l’attaquant signe encore, il a la privée : le retrait DNS casse sa signature. Vos envois, eux, doivent déjà pointer vers vos sélecteurs à vous.
Un sélecteur laissé par un ESP d’essai 2022 : plus souvent un oubli qu’un pirate. Retirez-le quand même si l’essai est fini (surface, clarté).
Comparer DNS et panel (OVH, Microsoft, Brevo)
Chaque plateforme affiche le sélecteur et le TXT à coller. Collez-le aujourd’hui, caractère à caractère (surtout les p= trop longs, souvent coupés). CNAME vers un domaine d’ESP : le CNAME doit exister et résoudre.
Plusieurs panels : plusieurs sélecteurs, pas un seul TXT fourre-tout. WordPress SMTP Brevo + messagerie OVH = deux signatures possibles selon l’enveloppe.
Les outils « lookup DKIM » : lancez-les sur chaque sélecteur listé dans la zone, pas seulement `default`.
- Export de zone horodaté.
- Capture des écrans DKIM de chaque expéditeur.
- Un mail test par canal, en-tête relu.
Tourner pour de vrai, sans laisser l’ancienne trop longtemps
Rotation : publier la nouvelle clé (ou CNAME), basculer le panel, vérifier un mail, retirer l’ancienne après quelques jours (caches DNS). Tout jeter d’un coup = trou pendant le TTL. Prévenez la personne qui envoie les devis le matin : une fenêtre d’une heure de fail DKIM, annoncée, vaut mieux qu’une matinée de « ça n’arrive plus » sans explication.
Si vous suspectez la privée fuie (accès panel mail) : rotation immédiate + accès panel. Le DNS seul ne révoque pas la privée côté Microsoft ; il faut leur flux de régénération.
Documentez le sélecteur (« brevo-2026-03 »). Les noms `default` partout, c’est le bazar à trois.
Registrar, DNS, agence : qui a écrit le TXT
Historique DNS (Cloudflare / OVH) : qui, quand. Un user agence 2019 encore là. Comme Search Console, révoquez. Le registraire 2FA.
Un changement MX + DKIM le même jour : lisez tout. Un MX vers un « filtre » inconnu est plus grave qu’un sélecteur.
Premiers gestes : le panel hébergeur n’est pas le registrar. Deux mots de passe.
DKIM n’est pas DMARC
DMARC dit quoi faire si SPF/DKIM n’alignent pas. Une belle clé + p=none : le spoof passe encore. Une clé cassée + p=reject : vos mails meurent. Les rapports montrent lequel.
BIMI et les coches de marque attendent un DKIM/DMARC sains. Pas un chantier de nuit.
Guide emails : auth + listes. DKIM est une ligne, pas le delist Orange.
Après : un sélecteur nommé, une revue
Revue trimestrielle des `._domainkey`. Chaque nouvel ESP : un sélecteur, un ticket. J+7 après rotation : un test par canal.
Si la zone a bougé de trop, déclarez pour le site et faites relire la zone par quelqu’un qui ne la craint pas. Page domaine blacklisté si les listes sont déjà là.
Un DKIM qui « se recasse » : accès DNS encore ouvert, ou un panel qui régénère tout seul (certains ESP). Coupez l’accès, pas seulement le TXT.