Configurer DKIM pour signer le courrier à partir de votre domaine cloud

Conseil

Saviez-vous que vous pouvez essayer gratuitement les fonctionnalités de Microsoft Defender pour Office 365 Plan 2 ? Utilisez la version d’évaluation de 90 jours de Defender pour Office 365 dans le hub d’évaluation du portail Microsoft Defender. Découvrez qui peut s’inscrire et les conditions d’essai sur Essayer Microsoft Defender pour Office 365.

DomainKeys Identified Mail (DKIM) est une méthode d’authentification par e-mail qui permet de valider les messages envoyés à partir de votre organization Microsoft 365 pour empêcher les expéditeurs usurpés qui sont utilisés dans la compromission de la messagerie professionnelle (BEC), les rançongiciels et d’autres attaques de hameçonnage.

L’objectif principal de DKIM est de vérifier qu’un message n’a pas été modifié en transit. Notamment :

  1. Une ou plusieurs clés privées sont générées pour un domaine et sont utilisées par le système de messagerie source pour signer numériquement des parties importantes des messages sortants. Ces parties de message sont les suivantes :
    • From, To, Subject, MIME-Version, Content-Type, Date et d’autres champs d’en-tête de message (selon le système de messagerie source).
    • Corps du message.
  2. La signature numérique est stockée dans le champ d’en-tête DKIM-Signature de l’en-tête du message et reste valide tant que les systèmes de messagerie intermédiaires ne modifient pas les parties signées du message. Le domaine de signature est identifié par la valeur d= dans le champ d’en-tête DKIM-Signature .
  3. Les clés publiques correspondantes sont stockées dans des enregistrements DNS pour le domaine de signature (enregistrements CNAME dans Microsoft 365 ; d’autres systèmes de messagerie peuvent utiliser des enregistrements TXT).
  4. Les systèmes de messagerie de destination utilisent la valeur d= dans le champ d’en-tête DKIM-Signature pour :
    • Identifiez le domaine de signature.
    • Recherchez la clé publique dans l’enregistrement DNS DKIM pour le domaine.
    • Utilisez la clé publique dans l’enregistrement DNS DKIM pour le domaine afin de vérifier la signature du message.

Faits importants sur DKIM :

  • Le domaine utilisé pour signer le message par DKIM n’est pas nécessaire pour correspondre au domaine dans les adresses MAIL FROM ou From du message. Pour plus d’informations sur ces adresses, consultez Pourquoi la messagerie Internet a besoin d’une authentification.
  • Un message peut avoir plusieurs signatures DKIM par différents domaines. En fait, de nombreux services de messagerie hébergés signent le message à l’aide du domaine de service, puis signent à nouveau le message à l’aide du domaine du client après que le client a configuré la signature DKIM pour le domaine.

Avant de commencer, voici ce que vous devez savoir sur DKIM dans Microsoft 365 en fonction de votre domaine de messagerie :

  • Si vous utilisez uniquement le domaine MOERA (Microsoft Online Email Routing Address) pour le courrier électronique (par exemple, contoso.onmicrosoft.com) : vous n’avez rien à faire. Les messages sortants des expéditeurs du domaine contoso.onmicrosoft.com sont automatiquement signés par le domaine contoso.onmicrosoft.com.

    Toutefois, vous pouvez également configurer manuellement la signature DKIM à l’aide du domaine *.onmicrosoft.com. Pour obtenir des instructions, consultez Utiliser le portail Defender pour personnaliser la signature DKIM des messages sortants à l’aide du domaine *.onmicrosoft.com.

    Pour vérifier les messages sortants provenant d’expéditeurs du domaine *.onmicrosoft.com initial sont signés par DKIM, consultez Vérifier la signature DKIM du courrier sortant à partir de Microsoft 365.

    Pour plus d’informations sur les domaines *.onmicrosoft.com, consultez Pourquoi ai-je un domaine « onmicrosoft.com » ?.

  • Si vous utilisez un ou plusieurs domaines personnalisés pour la messagerie (par exemple, contoso.com) : actuellement, aucune signature DKIM ne se produit pour les messages sortants à partir de domaines personnalisés. Vous devez donc effectuer les étapes suivantes pour une protection maximale de la messagerie :

    • Configurer la signature DKIM à l’aide de domaines ou de sous-domaines personnalisés: un message doit être signé avec DKIM par le domaine figurant dans l’adresse de l’expéditeur. Nous vous recommandons également de configurer DMARC, et DKIM ne réussit la validation DMARC que si le domaine utilisé par DKIM pour signer le message et le domaine de l’adresse From sont alignés.

    • Considérations relatives aux sous-domaines :

      • Pour les services de messagerie qui ne sont pas sous votre contrôle direct (par exemple, les services de messagerie en bloc), nous vous recommandons d’utiliser un sous-domaine (par exemple, marketing.contoso.com) au lieu de votre domaine de messagerie principal (par exemple, contoso.com). Vous ne souhaitez pas que les problèmes liés au courrier envoyé à partir de ces services de messagerie affectent la réputation des messages envoyés par les utilisateurs de votre domaine de messagerie principal. Pour plus d’informations sur l’ajout de sous-domaines, consultez Puis-je ajouter des sous-domaines personnalisés ou plusieurs domaines à Microsoft 365 ?.

      • Chaque sous-domaine que vous utilisez pour envoyer des e-mails à partir de Microsoft 365 nécessite sa propre configuration DKIM.

        Conseil

        La protection de l’authentification des e-mails pour les sous-domaines undefined est assurée par DMARC. Tous les sous-domaines (définis ou non) héritent des paramètres DMARC du domaine parent (qui peuvent être remplacés par sous-domaine). Pour plus d’informations, consultez Configurer DMARC pour valider le domaine d’adresse De pour les expéditeurs cloud.

    • Si vous possédez des domaines inscrits mais inutilisés : si vous possédez des domaines inscrits qui ne sont pas utilisés pour la messagerie ou quoi que ce soit (également appelés domaines parqués), ne publiez pas d’enregistrements DKIM pour ces domaines. L’absence d’enregistrement DKIM (par conséquent, l’absence d’une clé publique dans DNS pour valider la signature du message) empêche la validation DKIM des domaines falsifiés.

  • DKIM seul ne suffit pas. Pour obtenir le meilleur niveau de protection de la messagerie pour vos domaines personnalisés, vous devez également configurer SPF et DMARC dans le cadre de votre stratégie globale d’authentification de messagerie . Pour plus d’informations, consultez Étapes suivantes.

Le reste de cet article décrit les enregistrements CNAME DKIM que vous devez créer pour les domaines personnalisés dans Microsoft 365 et les procédures de configuration pour DKIM à l’aide de domaines personnalisés.

Conseil

La configuration de la signature DKIM à l’aide d’un domaine personnalisé est un mélange de procédures dans Microsoft 365 et de procédures du bureau d’enregistrement de domaines du domaine personnalisé.

Nous fournissons des instructions pour créer des enregistrements CNAME pour différents services Microsoft 365 dans de nombreux bureaux d’enregistrement de domaines. Vous pouvez utiliser ces instructions comme point de départ pour créer les enregistrements CNAME DKIM. Pour plus d’informations, consultez Connecter votre domaine en ajoutant des enregistrements DNS.

Si vous n’êtes pas familiarisé avec la configuration DNS, contactez votre bureau d’enregistrement de domaines et demandez de l’aide.

Syntaxe des enregistrements CNAME DKIM

DKIM est décrit de manière exhaustive dans RFC 6376.

Dans Microsoft 365, deux paires de clés publiques/privées sont générées lorsque la signature DKIM à l’aide d’un domaine ou d’un sous-domaine personnalisé est activée. Les clés privées utilisées pour signer le message sont inaccessibles. Les enregistrements CNAME pointent vers les clés publiques correspondantes utilisées pour vérifier la signature DKIM. Ces enregistrements sont appelés sélecteurs.

  • Un seul sélecteur est actif et utilisé lorsque la signature DKIM à l’aide d’un domaine personnalisé est activée.
  • L’autre sélecteur est inactif. Il est activé et utilisé uniquement après une future rotation de clé DKIM, puis uniquement après la désactivation du sélecteur d’origine.

Le sélecteur utilisé pour vérifier la signature DKIM (qui déduit la clé privée utilisée pour signer le message) est stocké dans la valeur s= dans le champ d’en-tête DKIM-Signature (par exemple, s=selector1-contoso-com).

Important

Utilisez le portail Defender ou Exchange Online PowerShell pour afficher les valeurs CNAME requises pour la signature DKIM des messages sortants à l’aide d’un domaine personnalisé. Les valeurs présentées dans cet article sont à titre d’illustration uniquement. Pour obtenir les valeurs requises pour vos domaines ou sous-domaines personnalisés, utilisez le portail Defender ou les procédures PowerShell Exchange Online.

La syntaxe de base des enregistrements CNAME DKIM pour les domaines personnalisés qui envoient des messages à partir de Microsoft 365 est la suivante :

Hostname: selector1._domainkey
Points to address or value: selector1-<CustomDomainWithDashes>._domainkey.<InitialDomainPrefix>.<DynamicPartitionCharacter>-v1.dkim.mail.microsoft

Hostname: selector2._domainkey
Points to address or value: selector2-<CustomDomainWithDashes>._domainkey.<InitialDomainPrefix>.<DynamicPartitionCharacter>-v1.dkim.mail.microsoft

  • Nom d’hôte : les valeurs sont les mêmes pour toutes les organisations Microsoft 365 : selector1._domainkey et selector2._domainkey.

  • <CustomDomainWithDashes> : domaine ou sous-domaine personnalisé avec des points remplacés par des tirets. Par exemple, contoso.com devient contoso-comou marketing.contoso.com devient marketing-contoso-com.

  • <InitialDomainPrefix> : partie personnalisée du *.onmicrosoft.com que vous avez utilisé pour vous inscrire à Microsoft 365. Par exemple, si vous avez utilisé contoso.onmicrosoft.com, la valeur est contoso.

  • <DynamicPartitionCharacter> : caractère généré dynamiquement qui est utilisé pour les deux sélecteurs (par exemple, r ou n). La valeur est automatiquement attribuée par Microsoft lorsque vous ajoutez un nouveau domaine personnalisé et activez DKIM. La valeur est déterminée par la logique de routage interne de Microsoft et n’est pas configurable.

    • Cette valeur fait partie du format d’enregistrement DKIM mis à jour pour les nouveaux domaines personnalisés dans Microsoft 365 introduit en mai 2025. Les domaines personnalisés existants et les domaines initiaux continuent d’utiliser l’ancien format DKIM :

      Hostname: selector1._domainkey
Points to address or value: selector1-contoso-com._domainkey.contoso.onmicrosoft.com

Hostname: selector2._domainkey
Points to address or value: selector2-contoso-com._domainkey.contoso.onmicrosoft.com

    • L’ancien et le nouveau format ne peuvent pas coexister pour le même sélecteur. Pour récupérer les valeurs CNAME DKIM correctes pour un domaine, y compris la valeur DynamicPartitionCharacter< affectée>, remplacez contoso.com par la valeur de domaine, puis exécutez la commande suivante dans Exchange Online PowerShell :

      Get-DkimSigningConfig -Identity contoso.com | Format-List Name,Enabled,Status,Selector1CNAME,Selector2CNAME

  • v1 : version au format CNAME actuelle utilisée pour les deux sélecteurs.

  • dkim.mail.microsoft : zone DNS parente identique pour les deux sélecteurs.

L’exemple suivant montre les valeurs CNAME DNS qui Microsoft 365 attend des sélecteurs DKIM lorsqu’une organisation a plusieurs domaines personnalisés. Utilisez cet exemple pour mapper les espaces réservés dans la syntaxe ci-dessus à vos propres valeurs de domaine.

Par exemple, votre organization a les domaines suivants dans Microsoft 365 :

  • Domaine initial : cohovineyardandwinery.onmicrosoft.com
  • Domaines personnalisés : cohovineyard.com et cohowinery.com

Vous devez créer deux enregistrements CNAME dans DNS dans chaque domaine personnalisé, pour un total de quatre enregistrements CNAME :

  • Enregistrements CNAME dans le domaine cohovineyard.com :

    Nom d’hôte : selector1._domainkey
    Pointe vers l’adresse ou la valeur : selector1-cohovineyard-com._domainkey.cohovineyardandwinery.n-v1.dkim.mail.microsoft

    Nom d’hôte : selector2._domainkey
    Pointe vers l’adresse ou la valeur : selector2-cohovineyard-com._domainkey.cohovineyardandwinery.n-v1.dkim.mail.microsoft

  • Enregistrements CNAME dans le domaine cohowinery.com :

    Nom d’hôte : selector1._domainkey
    Pointe vers l’adresse ou la valeur : selector1-cohowinery-com._domainkey.cohovineyardandwinery.r-v1.dkim.mail.microsoft

    Nom d’hôte : selector2._domainkey
    Pointe vers l’adresse ou la valeur : selector2-cohowinery-com._domainkey.cohovineyardandwinery.r-v1.dkim.mail.microsoft

Configurer la signature DKIM des messages sortants dans Microsoft 365

Utiliser le portail Defender pour activer la signature DKIM des messages sortants à l’aide d’un domaine personnalisé

Conseil

Vous pouvez utiliser un domaine ou un sous-domaine personnalisé pour signer le courrier sortant DKIM uniquement une fois que le domaine a été correctement ajouté à Microsoft 365. Pour obtenir des instructions, consultez Ajouter un domaine.

Le principal facteur qui détermine quand un domaine personnalisé démarre le courrier sortant de signature DKIM est la détection d’enregistrement CNAME dans DNS.

Pour utiliser les procédures de cette section, le domaine ou sous-domaine personnalisé doit exister sous l’onglet DKIM de la page des paramètres d’authentification Email à l’adresse https://security.microsoft.com/authentication?viewid=DKIM. Les propriétés du domaine sous l’onglet DKIM doivent contenir les valeurs suivantes :

  • La valeur toggle est Disabled.
  • La valeur Status est NoDKIMKeys.

Capture d’écran de l’onglet DKIM de la page d’authentification Email dans le portail Defender avec la valeur d’état NoDKIMKeys et la valeur toggle Disable mises en évidence.

Conseil

Dans le menu volant des détails du domaine, ces mêmes valeurs sont indiquées par les paramètres suivants :

  • La valeur État est Aucune clé DKIM enregistrée pour ce domaine.
  • Créer des clés DKIM est présent en bas du menu volant.

Capture d’écran du menu volant détails du domaine d’un domaine personnalisé montrant la valeur État Aucune clé DKIM enregistrée pour ce domaine et le bouton Créer des clés DKIM.

Continuez si le domaine répond à ces exigences.

  1. Dans le portail Defender, à l’emplacement https://security.microsoft.com, accédez à la page Courrier et collaboration>Stratégies et règles>Stratégies de protection>Paramètres d’authentification du courrier. Ou, pour accéder directement à la page des paramètres d’authentification Email, utilisez https://security.microsoft.com/authentication.

  2. Dans la page des paramètres d’authentification Email, sélectionnez l’onglet DKIM.

  3. Dans l’onglet DKIM, sur la ligne correspondant à l’entrée de domaine personnalisé ou de sous-domaine, essayez de faire passer la valeur Toggle de Désactivé à Activé.

  4. Une boîte de dialogue d’erreur du client s’ouvre. L’erreur contient les valeurs requises à utiliser dans les deux enregistrements CNAME que vous créez auprès du bureau d’enregistrement de domaines pour le domaine, ainsi que beaucoup d’autres textes. Bien que vous puissiez sélectionner le texte et appuyer sur Ctrl + C pour enregistrer les informations, les mêmes informations sont disponibles dans un format bien meilleur dans une étape ultérieure.

    Sélectionnez OK dans la boîte de dialogue pour continuer.

  5. Dans l’onglet DKIM, la valeur État du domaine est maintenant CnameMissing et la valeur Bascule est toujours Désactivée.

    Cliquez n’importe où sur la ligne, sauf sur la case à cocher à côté de la valeur Name ou sur la valeur Toggle, pour ouvrir le volet d’informations du domaine.

  6. Dans le volet Détails du domaine qui s’ouvre, suivez les étapes suivantes :

    • Notez la valeur Date de dernière vérification .
    • Notez les valeurs d’enregistrement CNAME requises dans la section Publier les CNAMEs et/ou sélectionnez Copier. Vous utilisez ces valeurs à l’étape suivante.

    Laissez le volet des détails du domaine ouvert.

    Capture d’écran du volet déroulant des détails du domaine pour un domaine personnalisé avec la signature DKIM désactivée, la section Publier les CNAME renseignée et l’option Rotation des clés DKIM visible mais grisée.

  7. Dans un autre onglet ou fenêtre de navigateur, accédez au bureau d’enregistrement de domaines pour le domaine, puis créez les deux enregistrements CNAME à l’aide des informations de l’étape précédente.

    Nous fournissons des instructions pour créer des enregistrements CNAME pour différents services Microsoft 365 dans de nombreux bureaux d’enregistrement de domaines. Vous pouvez utiliser ces instructions comme point de départ pour créer les enregistrements CNAME DKIM. Pour plus d’informations, consultez Connecter votre domaine en ajoutant des enregistrements DNS.

    Microsoft 365 prend quelques minutes (voire plus) pour détecter les nouveaux enregistrements CNAME que vous avez créés.

  8. Après quelques instants, revenez au volet Détails du domaine que vous avez laissé ouvert à l’étape 6, puis sélectionnez le bouton bascule Signer les messages pour ce domaine avec des signatures DKIM.

    Après quelques secondes, une boîte de dialogue de sécurité avec le texte suivant s’ouvre :

    La synchronisation de la modification status peut prendre plusieurs minutes.

    Une fois que vous avez sélectionné OK pour fermer la boîte de dialogue, les paramètres suivants s’affichent dans le menu volant détails du domaine si les enregistrements CNAME sont détectés sur votre bureau d’enregistrement de domaines :

    • Le bouton bascule Signer les messages pour ce domaine avec des signatures DKIM est Activé.
    • La valeur État est Signature des signatures DKIM pour ce domaine.
    • La rotation des clés DKIM est disponible.
    • Date de dernière vérification : la date et l’heure doivent être plus récentes que la valeur d’origine de l’étape 6.

    Capture d’écran du menu volant détails du domaine pour un domaine personnalisé une fois que DKIM est activé pour le domaine.

Utiliser le portail Defender pour personnaliser la signature DKIM des messages sortants à l’aide du domaine *.onmicrosoft.com

Microsoft 365 DKIM signe automatiquement le courrier sortant des expéditeurs dans le domaine *.onmicrosoft.com initial. Toutefois, vous pouvez utiliser les procédures de cette section pour affecter la signature DKIM à l’aide du domaine *.onmicrosoft.com :

  • Générez de nouvelles clés. Les nouvelles clés sont automatiquement ajoutées et utilisées dans les centres de données Microsoft 365.
  • Faites en sorte que les propriétés du domaine *.onmicrosoft.com s’affichent correctement dans le menu volant des détails du domaine sous l’onglet DKIM de la page des paramètres d’authentification Email à l’adresse https://security.microsoft.com/authentication?viewid=DKIM ou dans PowerShell. Ce résultat permet de futures opérations sur la configuration DKIM pour le domaine (par exemple, la rotation manuelle des clés).

Pour utiliser les procédures de cette section, *.onmicrosoft.com doit apparaître sous l’onglet DKIM de la page des paramètres d’authentification Email à l’adresse https://security.microsoft.com/authentication?viewid=DKIM. Les propriétés du domaine sous l’onglet DKIM doivent contenir les valeurs suivantes :

  • La valeur toggle est Disabled.
  • La valeur Status est NoDKIMKeys.

Continuez si le domaine répond à ces exigences.

  1. Dans le portail Defender, à l’emplacement https://security.microsoft.com, accédez à la page Courrier et collaboration>Stratégies et règles>Stratégies de protection>Paramètres d’authentification du courrier. Ou, pour accéder directement à la page des paramètres d’authentification Email, utilisez https://security.microsoft.com/authentication.

  2. Dans la page des paramètres d’authentification Email, sélectionnez l’onglet DKIM.

  3. Dans l’onglet DKIM, dans la ligne correspondant à l’entrée de domaine *.onmicrosoft.com, faites glisser le bouton basculeDésactivé sur Activé.

    Au bout d’un instant, la valeur Status du domaine *.onmicrosoft.com de domaine passe à Valide, mais la valeur toggle est toujours Désactivée.

    Sélectionnez Actualiser et la valeur de Commutateur passe à Activé.

Utiliser Exchange Online PowerShell pour configurer la signature DKIM des messages sortants

Si vous préférez utiliser PowerShell pour activer la signature DKIM des messages sortants à l’aide d’un domaine personnalisé ou pour personnaliser la signature DKIM pour le domaine *.onmicrosoft.com initial, connectez-vous à Exchange Online PowerShell pour exécuter les commandes suivantes.

Conseil

Avant de pouvoir configurer la signature DKIM à l’aide du domaine personnalisé, vous devez ajouter le domaine à Microsoft 365. Pour obtenir des instructions, consultez Ajouter un domaine. Pour vérifier que le domaine personnalisé est disponible pour la configuration DKIM, exécutez la commande suivante : Get-AcceptedDomain.

Votre domaine *.onmicrosoft.com signe déjà un e-mail sortant à partir d’expéditeurs dans le *.onmicrosoft.com par défaut (consultez le portail Defender pour personnaliser la signature DKIM des messages sortants à l’aide du domaine *.onmicrosoft.com). En règle générale, sauf si vous avez configuré manuellement la signature DKIM pour le domaine *.onmicrosoft.com dans le portail Defender ou dans PowerShell, *.onmicrosoft.com n’apparaît pas dans la sortie de Get-DkimSigningConfig.

  1. Exécutez la commande suivante pour vérifier la disponibilité et les status DKIM de tous les domaines dans le organization :

    Get-DkimSigningConfig | Format-List Name,Enabled,Status,Selector1CNAME,Selector2CNAME

  2. Pour le domaine dans lequel vous souhaitez configurer la signature DKIM, la sortie de la commande à l’étape 1 détermine ce que vous devez faire ensuite :

    • Le domaine est répertorié avec les valeurs suivantes :

      • Activé : False
      • État : NoDKIMKeys ou CnameMissing

      Passez à l’étape 3 pour copier les valeurs du sélecteur.

    Ou

    • Le domaine n’est pas répertorié. Procédez comme suit :

      1. Remplacez Domaine< par >la valeur de domaine, puis exécutez la commande suivante :

        New-DkimSigningConfig -DomainName <Domain> -Enabled $false [-BodyCanonicalization <Relaxed | Simple>] [-HeaderCanonicalization <Relaxed | Simple>] [-KeySize <1024 | 2048>]
        • Le paramètre BodyCanonicalization spécifie le niveau de sensibilité des modifications dans le corps du message :
          • Relaxed: les modifications dans les espaces blancs et les modifications dans les lignes vides à la fin du corps du message sont tolérées. Cette valeur est la valeur par défaut.
          • Simple: seules les modifications de lignes vides à la fin du corps du message sont tolérées.
        • Le paramètre HeaderCanonicalization spécifie le niveau de sensibilité des modifications apportées à l’en-tête de message :
          • Relaxed: les modifications courantes apportées à l’en-tête du message sont tolérées. Par exemple, le réencapsulage de ligne de champ d’en-tête, les modifications dans les espaces blancs inutiles ou les lignes vides et les modifications au cas pour les champs d’en-tête. Cette valeur est la valeur par défaut.
          • Simple: Aucune modification des champs d’en-tête n’est tolérée.
        • Le paramètre KeySize spécifie la taille de bits de la clé publique dans l’enregistrement DKIM :
          • 1024 (par défaut)
          • 2048

        Par exemple :

        New-DkimSigningConfig -DomainName contoso.com -Enabled $false

      2. Réexécutez la commande de l’étape 1 pour vérifier que le domaine est répertorié avec les valeurs de propriété suivantes :

        • Activé : False
        • État : CnameMissing

      3. Passez à l’étape 3 pour copier les valeurs du sélecteur.

  3. Copiez les valeurs Selector1CNAME et Selector2CNAME pour le domaine dans la sortie de la commande de l’étape 1.

    Les enregistrements CNAME que vous devez créer auprès du bureau d’enregistrement de domaines pour le domaine se présentent comme suit :

    Nom d’hôte : selector1._domainkey
    Pointe vers l’adresse ou la valeur : <Selector1CNAME value>

    Nom d’hôte : selector2._domainkey
    Pointe vers l’adresse ou la valeur : <Selector2CNAME value>

    Par exemple :

    Nom d’hôte : selector1._domainkey
    Pointe vers l’adresse ou la valeur : selector1-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft

    Nom d’hôte : selector2._domainkey
    Pointe vers l’adresse ou la valeur : selector2-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft

  4. Effectuez l’une des étapes suivantes :

    • Domaine personnalisé : dans le bureau d’enregistrement de domaines pour le domaine, créez les deux enregistrements CNAME à l’aide des informations de l’étape précédente.

      Nous fournissons des instructions pour créer des enregistrements CNAME pour différents services Microsoft 365 dans de nombreux bureaux d’enregistrement de domaines. Vous pouvez utiliser ces instructions comme point de départ pour créer les enregistrements CNAME DKIM. Pour plus d’informations, consultez Connecter votre domaine en ajoutant des enregistrements DNS.

      Microsoft 365 prend quelques minutes (voire plus) pour détecter les nouveaux enregistrements CNAME que vous avez créés.

    • *.onmicrosoft.com domaine : passez à l’étape suivante.

  5. Après un certain temps, revenez à Exchange Online PowerShell, remplacez Domaine< par >le domaine que vous avez configuré, puis exécutez la commande suivante :

    Set-DkimSigningConfig -Identity \<Domain\> -Enabled $true [-BodyCanonicalization <Relaxed | Simple>] [-HeaderCanonicalization <Relaxed | Simple>]
    • Le paramètre BodyCanonicalization spécifie le niveau de sensibilité des modifications dans le corps du message :
      • Relaxed: les modifications dans les espaces blancs et les modifications dans les lignes vides à la fin du corps du message sont tolérées. Cette valeur est la valeur par défaut.
      • Simple: seules les modifications de lignes vides à la fin du corps du message sont tolérées.
    • Le paramètre HeaderCanonicalization spécifie le niveau de sensibilité des modifications apportées à l’en-tête de message :
      • Relaxed: les modifications courantes apportées à l’en-tête du message sont tolérées. Par exemple, le réencapsulage de ligne de champ d’en-tête, les modifications dans les espaces blancs inutiles ou les lignes vides et les modifications au cas pour les champs d’en-tête. Cette valeur est la valeur par défaut.
      • Simple: Aucune modification des champs d’en-tête n’est tolérée.

    Par exemple :

    Set-DkimSigningConfig -Identity contoso.com -Enabled $true

    Ou

    Set-DkimSigningConfig -Identity contoso.onmicrosoft.com -Enabled $true

    • Pour un domaine personnalisé, si Microsoft 365 est en mesure de détecter les enregistrements CNAME auprès du bureau d’enregistrement de domaines, la commande s’exécute sans erreur et le domaine est maintenant utilisé pour signer les messages sortants DKIM à partir du domaine.

      Si les enregistrements CNAME ne sont pas détectés, vous obtenez une erreur qui contient les valeurs à utiliser dans les enregistrements CNAME. Recherchez les fautes de frappe dans les valeurs du bureau d’enregistrement de domaines (facile à faire avec les tirets, points et soulignements !), patientez un peu plus longtemps, puis réexécutez la commande.

    • Pour un domaine *.onmicrosoft.com qui n’était pas répertorié précédemment, la commande s’exécute sans erreur.

  6. Pour vérifier que le domaine est désormais configuré pour les messages de signature DKIM, exécutez la commande de l’étape 1.

    Le domaine doit avoir les valeurs de propriété suivantes :

    • Activé : True
    • État : Valid

Pour obtenir des informations détaillées sur la syntaxe et les paramètres, consultez les articles suivants :

Faire pivoter les clés DKIM

Pour les mêmes raisons, vous devez modifier régulièrement les mots de passe, vous devez modifier régulièrement la clé DKIM utilisée pour la signature DKIM. Le remplacement de la clé DKIM pour un domaine est appelé rotation des clés DKIM.

Pour passer en revue toutes les propriétés de configuration DKIM pour un domaine personnalisé spécifique, y compris les détails de rotation des clés, exécutez la commande suivante dans Exchange Online PowerShell :

Get-DkimSigningConfig -Identity <CustomDomain> | Format-List
  • KeyCreationTime: date/heure UTC à laquelle la paire de clés publique-privée DKIM a été créée.
  • RotateOnDate: date/heure de la rotation de clé DKIM précédente ou suivante.
  • SelectorBeforeRotateOnDate: N’oubliez pas que la signature DKIM à l’aide d’un domaine personnalisé dans Microsoft 365 nécessite deux enregistrements CNAME dans le domaine. Cette propriété affiche l’enregistrement CNAME que DKIM utilise avant la RotateOnDate date-heure (également appelé sélecteur). La valeur est selector1 ou selector2 et est différente de la SelectorAfterRotateOnDate valeur .
  • SelectorAfterRotateOnDate: affiche l’enregistrement CNAME utilisé par DKIM après la RotateOnDate date-heure. La valeur est selector1 ou selector2 et est différente de la SelectorBeforeRotateOnDate valeur .

Lorsque vous effectuez une rotation de clé DKIM sur un domaine comme décrit dans cette section, la modification n’est pas immédiate. Quatre jours (96 heures) sont nécessaires pour que la nouvelle clé privée commence à signer les messages (date RotateOnDate /heure et valeur correspondante SelectorAfterRotateOnDate ). En attendant, la clé privée existante est utilisée (la valeur correspondante SelectorBeforeRotateOnDate ).

Pour confirmer la clé publique correspondante utilisée pour vérifier la signature DKIM (ce qui permet d’en déduire la clé privée utilisée pour signer le message), vérifiez la valeur s= dans le champ d’en-tête DKIM-Signature (le sélecteur ; par exemple, s=selector1-contoso-com).

Conseil

  • Le principal facteur qui détermine quand un domaine personnalisé démarre le courrier sortant de signature DKIM est la détection d’enregistrement CNAME dans DNS.
  • Vous pouvez faire pivoter les clés DKIM uniquement sur les domaines avec les deux valeurs de propriété suivantes sous l’onglet DKIM de la page des paramètres d’authentification Email :
    • Interrupteur: Activé
    • État : Valide ou CnameMissing
  • Actuellement, il n’existe aucune rotation automatique des clés DKIM pour le domaine *.onmicrosoft.com.

Utiliser le portail Defender pour faire pivoter les clés DKIM d’un domaine personnalisé

Procédez comme suit pour faire pivoter des clés DKIM pour un domaine personnalisé. Le domaine doit avoir Toggle défini sur Activé et Statut défini sur Valide ou CnameMissing dans l’onglet DKIM de la page Paramètres d’authentification par e-mail.

  1. Dans le portail Defender, à l’emplacement https://security.microsoft.com, accédez à la page Courrier et collaboration>Stratégies et règles>Stratégies de protection>Paramètres d’authentification du courrier. Ou, pour accéder directement à la page des paramètres d’authentification Email, utilisez https://security.microsoft.com/authentication.

  2. Dans la page des paramètres d’authentification Email, sélectionnez l’onglet DKIM.

  3. Dans l’onglet DKIM, sélectionnez le domaine à configurer en cliquant n’importe où dans la ligne, sauf sur la case à cocher à côté de la valeur Name ou sur la valeur Toggle.

    Capture d’écran de l’onglet DKIM de la page d’authentification Email dans le portail Defender.

  4. Dans le volet des détails du domaine qui s’ouvre, sélectionnez Permuter les clés DKIM en bas du volet.

    Capture d’écran du volet volant des détails du domaine pour un domaine personnalisé, dans lequel le bouton Faire pivoter les clés DKIM est disponible en bas du volet volant.

  5. Les paramètres du volet des détails prennent les valeurs suivantes :

    • État : rotation des clés pour ce domaine et signature des signatures DKIM.
    • Publier les CNAME : les valeurs du champ Pointe vers l’adresse ou la valeur sont vides pour les deux sélecteurs.
    • Faire pivoter les clés DKIM est grisé.

    Capture d’écran du volet de détails du domaine pour un domaine personnalisé pendant la rotation des clés.

  6. Après quatre jours (96 heures), la nouvelle clé DKIM signe les messages sortants pour le domaine personnalisé. En attendant, la clé DKIM actuelle est utilisée.

    La nouvelle clé DKIM signe le message lorsque la valeur État passe à Signature des signatures DKIM pour ce domaine.

Pour confirmer la clé publique correspondante utilisée pour vérifier la signature DKIM (ce qui permet de déduire la clé privée utilisée pour signer le message), vérifiez la valeur s= dans le champ d’en-tête DKIM-Signature (le sélecteur ; par exemple, s=selector1-contoso-com).

Utiliser Exchange Online PowerShell pour faire pivoter les clés DKIM d’un domaine et modifier la profondeur de bits

Si vous préférez utiliser PowerShell pour faire pivoter les clés DKIM d’un domaine, connectez-vous à Exchange Online PowerShell pour exécuter les commandes suivantes.

  1. Exécutez la commande suivante pour vérifier la disponibilité et les status DKIM de tous les domaines dans le organization :

    Get-DkimSigningConfig | Format-List Name,Enabled,Status,Selector1CNAME,Selector1KeySize,Selector2CNAME,Selector2KeySize,KeyCreationTime,RotateOnDate,SelectorBeforeRotateOnDate,SelectorAfterRotateOnDate

  2. Pour le domaine pour lequel vous souhaitez faire pivoter les clés DKIM, utilisez la syntaxe suivante :

    Rotate-DkimSigningConfig -Identity <CustomDomain> [-KeySize <1024 | 2048>]

    Si vous ne souhaitez pas modifier la profondeur de bits des nouvelles clés DKIM, n’utilisez pas le paramètre KeySize .

    Cet exemple montre comment faire pivoter des clés DKIM pour le domaine contoso.com et passer à une clé de 2 048 bits.

    Rotate-DkimSigningConfig -Identity contoso.com -KeySize 2048

    Cet exemple montre comment faire pivoter des clés DKIM pour le domaine contoso.com sans modifier la profondeur des bits de clé.

    Rotate-DkimSigningConfig -Identity contoso.com

  3. Réexécutez la commande de l’étape 1 pour confirmer les valeurs de propriété suivantes :

    • KeyCreationTime
    • RotateOnDate
    • SelectorBeforeRotateOnDate
    • SelectorAfterRotateOnDate

    Les systèmes de messagerie de destination utilisent la clé publique dans l’enregistrement CNAME identifié par la SelectorBeforeRotateOnDate propriété pour vérifier la signature DKIM dans les messages (ce qui déduit la clé privée utilisée pour signer le message).

    Après la RotateOnDate date/heure, DKIM utilise la nouvelle clé privée pour signer les messages, et les systèmes de messagerie de destination utilisent la clé publique correspondante dans l’enregistrement CNAME identifié par la SelectorAfterRotateOnDate propriété pour vérifier la signature DKIM dans les messages.

    Pour confirmer la clé publique correspondante utilisée pour vérifier la signature DKIM (ce qui permet d’en déduire la clé privée utilisée pour signer le message), vérifiez la valeur s= dans le champ d’en-tête DKIM-Signature (le sélecteur ; par exemple, s=selector1-contoso-com).

    Important

    Si vous modifiez la profondeur de bits des clés DKIM de 1024 à 2048 à l’aide du paramètre KeySize , la mise à jour s’applique uniquement au sélecteur actif suivant lors de la première rotation de clé. Lorsque vous effectuez une nouvelle rotation des clés, le sélecteur précédemment inactif devient actif et la profondeur de bits est également mise à jour vers 2048.

    Lorsque vous faites pivoter des clés DKIM sur un domaine, la modification n’est pas immédiate. Cela prend quatre jours (96 heures). Pendant que la rotation des clés est en cours, vous ne pouvez pas effectuer une autre rotation de clé.

Pour obtenir des informations détaillées sur la syntaxe et les paramètres, consultez les articles suivants :

Désactiver la signature DKIM des messages sortants à l’aide d’un domaine personnalisé

La désactivation de la signature DKIM pour un domaine personnalisé empêche Microsoft 365 d’ajouter une signature DKIM aux messages sortants de ce domaine. Vous pouvez désactiver la connexion DKIM dans le portail Defender ou dans Exchange Online PowerShell.

Utiliser le portail Defender pour désactiver la signature DKIM des messages sortants à l’aide d’un domaine personnalisé

Procédez comme suit pour désactiver la signature DKIM pour un domaine personnalisé dans le portail Defender.

  1. Dans le portail Defender, à l’emplacement https://security.microsoft.com, accédez à la page Courrier et collaboration>Stratégies et règles>Stratégies de protection>Paramètres d’authentification du courrier. Ou, pour accéder directement à la page des paramètres d’authentification Email, utilisez https://security.microsoft.com/authentication.

  2. Dans la page des paramètres d’authentification Email, sélectionnez l’onglet DKIM.

  3. Sous l’onglet DKIM , effectuez l’une des étapes suivantes :

    • Dans l’entrée correspondant au domaine, faites passer la valeur de l’interrupteur de Activé à Désactivé.
    • Sélectionnez le domaine à configurer en cliquant n’importe où dans la ligne, à l’exception de la case à cocher située à côté de la valeur Name ou de la valeur Toggle. Dans le volet des détails du domaine qui s’ouvre, faites passer le bouton bascule Signer les messages de ce domaine avec des signatures DKIM de Activé à Désactivé.

Utiliser Exchange Online PowerShell pour désactiver la signature DKIM des messages sortants à l’aide d’un domaine personnalisé

Si vous préférez utiliser PowerShell pour désactiver la signature DKIM des messages sortants à l’aide d’un domaine personnalisé, connectez-vous à Exchange Online PowerShell pour exécuter les commandes suivantes.

  1. Exécutez la commande suivante pour vérifier la disponibilité et les status DKIM de tous les domaines dans le organization :

    Get-DkimSigningConfig | Format-List Name,Enabled,Status

    Tout domaine personnalisé pour lequel vous pouvez désactiver la signature DKIM a les valeurs de propriété suivantes :

    • Activé : True
    • État : Valid

  2. Pour le domaine pour lequel vous souhaitez désactiver la signature DKIM, utilisez la syntaxe suivante :

    Set-DkimSigningConfig -Identity <CustomDomain> -Enabled $false

    Cet exemple montre comment désactiver la signature DKIM à l’aide du domaine personnalisé contoso.com.

    Set-DkimSigningConfig -Identity contoso.com -Enabled $false

Vérifier la signature DKIM du courrier sortant à partir de Microsoft 365

Conseil

Avant d’utiliser les méthodes de cette section pour tester la signature DKIM du courrier sortant, attendez quelques minutes après les modifications apportées à la configuration DKIM pour autoriser la propagation des modifications.

Utilisez l’une des méthodes suivantes pour vérifier la signature DKIM du courrier sortant à partir de Microsoft 365 :

  • Envoyez des messages de test et affichez les champs d’en-tête associés à partir de l’en-tête de message dans le système de messagerie de destination :

    1. Envoyer un message à partir d’un compte de votre domaine compatible DKIM Microsoft 365 à un destinataire dans un autre système de messagerie (par exemple, outlook.com ou gmail.com).

      Conseil

      N’envoyez pas de courrier à AOL pour le test DKIM. AOL peut ignorer la vérification DKIM si la vérification SPF réussit.

    2. Dans la boîte aux lettres de destination, affichez l’en-tête du message. Par exemple :

    3. Recherchez le champ d’en-tête DKIM-Signature dans l’en-tête du message. Le champ d’en-tête ressemble à l’exemple suivant :

      DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=contoso.com;
 s=selector1;
 h=From:Date:Subject:Message-ID:Content-Type:MIME-Version:X-MS-Exchange-SenderADCheck;
 bh=UErATeHehIIPIXPeUAfZWiKo0w2cSsOhb9XM9ulqTX0=;
      • d= : domaine utilisé pour signer le message par DKIM.
      • s= : sélecteur (clé publique dans l’enregistrement DNS dans le domaine) qui a été utilisé pour déchiffrer et vérifier la signature DKIM du message.

    4. Recherchez le champ d’en-tête Authentication-Results dans l’en-tête du message. Bien que les systèmes de messagerie de destination puissent utiliser des formats légèrement différents pour marquer le courrier entrant, le champ d’en-tête doit inclure DKIM=pass ou DKIM=OK. Par exemple :

      Authentication-Results: mx.google.com;
  dkim=pass header.i=@contoso.com header.s=selector1 header.b=NaHRSJOb;
  arc=pass (i=1 spf=pass spfdomain=contoso.com dkim=pass dkdomain=contoso.com dmarc=pass fromdomain=contoso.com);
  spf=pass (google.com: domain of michelle@contoso.com designates 0000:000:0000:0000::000 as permitted sender) smtp.mailfrom=michelle@contoso.com

      Conseil

      La signature DKIM est omise dans l’une des conditions suivantes :

      • Les adresses e-mail de l’expéditeur et du destinataire se trouvent dans le même domaine.
      • Les adresses e-mail de l’expéditeur et du destinataire se trouvent dans des domaines différents contrôlés par le même organization.

      Dans les deux cas, le champ d’en-tête DKIM-Signature n’existe pas dans l’en-tête du message, et le champ d’en-tête Authentication-Results ressemble à l’exemple suivant :

      authentication-results: dkim=none (message not signed)
 header.d=none;dmarc=none action=none header.from=contoso.com;

  • Utilisez le test dans l’aide de Microsoft 365 : Cette fonctionnalité nécessite un compte d’administrateur* général et n’est pas disponible dans Microsoft 365 Government Community Cloud (GCC), GCC High, DoD ou Office 365 géré par 21Vianet.

    Important

    * Microsoft défend fermement le principe des privilèges minimum. L’attribution de comptes uniquement les autorisations minimales nécessaires à l’exécution de leurs tâches permet de réduire les risques de sécurité et renforce la protection globale de votre organization. Administrateur général est un rôle hautement privilégié que vous devez limiter aux scénarios d’urgence ou lorsque vous ne pouvez pas utiliser un autre rôle.

    Exécuter des tests : DKIM

    Capture d’écran du test DKIM diagnostics dans l’aide de Microsoft 365.

Signature DKIM du courrier à partir de votre domaine personnalisé auprès d’autres services de messagerie

Certains fournisseurs de services de messagerie ou fournisseurs de logiciels en tant que service vous permettent d’activer la signature DKIM pour vos messages provenant du service, mais les méthodes dépendent entièrement du service de messagerie.

Conseil

Nous vous recommandons d’utiliser des sous-domaines pour les systèmes de messagerie ou les services que vous ne contrôlez pas directement. Par conséquent, les problèmes liés à ces services n’affectent pas la réputation de votre domaine principal.

Par exemple, votre domaine de messagerie dans Microsoft 365 est contoso.com et vous utilisez le service de publipostage en bloc Adatum pour les e-mails marketing. Si Adatum prend en charge la signature DKIM des messages des expéditeurs de votre domaine au niveau de leur service, les messages peuvent contenir les éléments suivants :

Return-Path: <communication@adatum.com>
 From: <sender@marketing.contoso.com>
 DKIM-Signature: s=s1024; d=marketing.contoso.com
 Subject: This a message from the Adatum infrastructure, but with a DKIM signature authorized by marketing.contoso.com

Dans cet exemple, les étapes suivantes sont requises :

  1. Adatum donne à Contoso une clé publique à utiliser pour la signature DKIM des messages contoso sortants à partir de son service.

  2. Contoso publie la clé DKIM publique dans DNS auprès du bureau d’enregistrement de domaines pour le sous-domaine marketing.contoso.com (un enregistrement TXT ou un enregistrement CNAME).

  3. Quand Adatum envoie des messages à partir d’expéditeurs dans le domaine marketing.contoso.com, les messages sont signés DKIM à l’aide de la clé privée qui correspond à la clé publique qu’ils ont donnée à Contoso à la première étape.

  4. Si le système de messagerie de destination vérifie DKIM sur les messages entrants, les messages passent DKIM, car ils sont signés par DKIM.

  5. Si le système de messagerie de destination vérifie DMARC sur les messages entrants, le domaine dans la signature DKIM (la valeur d= dans le champ d’en-tête DKIM-Signature ) correspond au domaine dans l’adresse de départ affichée dans les clients de messagerie, de sorte que les messages peuvent également passer DMARC :

    À partir de : sender@marketing.contoso.com
    d= : marketing.contoso.com

Résoudre les problèmes de configuration DNS DKIM

Les erreurs courantes qui empêchent DKIM de fonctionner comprennent un format de nom d’hôte CNAME incorrect, un enregistrement CNAME selector2 manquant, un enregistrement TXT au lieu d’un enregistrement CNAME, une valeur TTL trop faible, une discordance de domaine dans la valeur cible du CNAME et des problèmes liés au point final. Consultez également les erreurs DNS DKIM courantes en un clin d’œil.

Format de nom d’hôte CNAME incorrect

  • Symptôme : le commutateur DKIM ne s’active pas dans le portail Defender. L’état reste CnameMissing.

  • Problème : le nom d’hôte CNAME a été entré avec le domaine complet ajouté (par exemple, selector1._domainkey.contoso.com.contoso.com) ou sans préfixe _domainkey .

  • Correctif : le nom d’hôte (également appelé « Nom » ou « Nom de l’enregistrement ») doit contenir uniquement la partie sous-domaine. La plupart des fournisseurs DNS ajoutent automatiquement votre zone de domaine.

    Correct : selector1._domainkey

    Incorrect (le nom d’hôte inclut le domaine, ce qui entraîne un double domaine) : selector1._domainkey.contoso.com (si votre zone DNS est déjà contoso.com)

Conseil

Certains fournisseurs DNS (comme GoDaddy) ajoutent automatiquement la zone de domaine à la valeur que vous entrez. Si votre zone de domaine est contoso.com et que vous entrez selector1._domainkey.contoso.com, l’enregistrement réel devient selector1._domainkey.contoso.com.contoso.com. Entrez uniquement selector1._domainkey dans le champ nom d’hôte.

Enregistrement CNAME selector2 manquant

  • Symptôme : la signature DKIM s’active correctement, mais la rotation des clés échoue ultérieurement. Ou le portail Defender affiche un avertissement concernant une configuration incomplète.

  • Ce qui s’est mal passé : seul selector1._domainkey a été créé. L’enregistrement selector2._domainkey CNAME est manquant.

  • Pourquoi cela est important : Microsoft 365 nécessite les deux enregistrements CNAME du sélecteur. selector2 est utilisé pendant la rotation des clés. Sans elle, vous ne pouvez pas faire pivoter les clés DKIM.

  • Correctif : Créez les deux enregistrements CNAME :

    selector1._domainkey     selector1-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft
selector2._domainkey     selector2-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft

Important

Créez toujours les deux enregistrements CNAME, même si un seul sélecteur est actif à un moment donné. Le sélecteur inactif est nécessaire pour la rotation transparente des clés.

Enregistrement TXT au lieu d’un enregistrement CNAME

  • Symptôme : DKIM status reste CnameMissing même si vous avez ajouté un enregistrement DNS. Les recherches DNS pour selector1._domainkey.contoso.com renvoyer un enregistrement TXT.

  • Problème : un enregistrement TXT contenant la clé publique DKIM a été créé directement, au lieu d’un enregistrement CNAME pointant vers l’infrastructure DKIM de Microsoft.

  • Pourquoi cela est important : Microsoft 365 gère les clés DKIM et gère automatiquement la rotation des clés. L’enregistrement CNAME délègue la gestion des clés à Microsoft. Un enregistrement TXT vous oblige à gérer manuellement les clés et la rotation, ce qui n’est pas pris en charge pour Microsoft 365.

  • Correctif : supprimez l’enregistrement TXT et créez un enregistrement CNAME à la place :

    Type d’enregistrement Nom d'hôte Points vers
    CNAME (correct) selector1._domainkey selector1-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft
    TXT (non valide, non pris en charge) selector1._domainkey v=DKIM1; k=rsa; p=MIGfMA0GCS...

Remarque

D’autres systèmes de messagerie non-Microsoft peuvent utiliser des enregistrements TXT pour DKIM. Pour Microsoft 365, utilisez toujours les enregistrements CNAME qui pointent vers l’infrastructure Microsoft DKIM.

TTL réglé trop bas

  • Symptôme : La vérification DKIM échoue par intermittence du côté de la réception avec dkim=temperror ou dkim=fail (délai d’expiration de la recherche de clé).

  • Problème : la durée de vie (durée de vie) des enregistrements CNAME DKIM est définie trop basse (par exemple, 60 ou 300 secondes), ce qui entraîne des recherches DNS fréquentes qui risquent d’expirer.

  • Durée de vie recommandée : 3600 secondes (1 heure) minimum.

  • Correction : Mettez à jour le TTL des deux enregistrements CNAME DKIM à au moins 3600 :

    selector1._domainkey  3600  CNAME  selector1-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft
selector2._domainkey  3600  CNAME  selector2-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft

Non-correspondance du domaine dans la valeur cible de l’enregistrement CNAME

  • Symptôme : L’status DKIM affiche CnameMissing ou la signature DKIM échoue. La Get-DkimSigningConfig sortie affiche des valeurs différentes de celles contenues dans DNS.

  • Problème : la valeur cible CNAME ne correspond pas à ce que Microsoft 365 a généré. Les erreurs courantes incluent le remplacement incorrect du domaine (points et tirets), un préfixe de domaine initial incorrect ou le caractère de partition dynamique manquant.

  • Règles clés pour la cible CNAME :

    • Les points (.) de votre domaine sont remplacés par des tirets (-).
    • Le préfixe de domaine initial est votre préfixe *.onmicrosoft.com (sans .onmicrosoft.com).
    • Un caractère dynamique est attribué par Microsoft.

  • Correctif : utilisez toujours les valeurs CNAME exactes du portail Defender ou de PowerShell. Ne les construisez pas manuellement :

    Get-DkimSigningConfig -Identity contoso.com | Format-List Selector1CNAME, Selector2CNAME

    Exemple : Pour le domaine sub.contoso.com avec le domaine contoso.onmicrosoft.cominitial :

    Composant Valeur correcte Erreur courante
    Domaine avec tirets sub-contoso-com sub.contoso.com (points conservés)
    Préfixe de domaine initial contoso contoso.onmicrosoft.com (suffixe inclus)
    Cible CNAME complète selector1-sub-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft selector1-sub.contoso.com._domainkey.contoso.onmicrosoft.com

Point final manquant ou en trop dans la cible CNAME

  • Symptôme : le fournisseur DNS affiche l’enregistrement comme étant créé, mais Microsoft 365 ne peut pas le détecter.
  • Problème : certains fournisseurs DNS nécessitent un point de fin (.) à la fin de la cible CNAME pour indiquer un nom de domaine complet (FQDN). D’autres l’ajoutent automatiquement, et l’ajout manuel crée un point double.
  • Correctif : vérifiez les exigences de votre fournisseur DNS. Consultez exemples CNAME spécifiques au fournisseur DNS.

Erreurs DNS DKIM courantes en un coup d’œil

Erreur Symptôme Corriger
Le nom d’hôte inclut un domaine complet État : CnameMissing Entrer uniquement selector1._domainkey (aucun suffixe de domaine)
Sélecteur manquant2 La rotation des clés échoue Créer les deux enregistrements CNAME
Enregistrement TXT au lieu de CNAME État : CnameMissing Supprimer TXT, créer CNAME
TTL trop faible dkim=temperror intermittent Définir le TTL sur au moins 3600 secondes
Format de domaine incorrect dans la cible État : CnameMissing Utiliser les valeurs exactes de Get-DkimSigningConfig
Problème de point final L’enregistrement existe mais n’est pas détecté Suivre la mise en forme spécifique au fournisseur DNS

Vérifier la propagation DNS

Après avoir créé les enregistrements CNAME, utilisez nslookup ou dig pour vérifier que les deux sélecteurs DKIM se résolvent correctement dans le DNS public.

Windows (nslookup) :

nslookup -type=CNAME selector1._domainkey.contoso.com
nslookup -type=CNAME selector2._domainkey.contoso.com

Sortie attendue (réussie) :

selector1._domainkey.contoso.com  canonical name = selector1-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft

Sur macOS ou Linux, utilisez dig plutôt que nslookup pour confirmer les cibles CNAME du sélecteur DKIM :

macOS/Linux (dig) :

dig CNAME selector1._domainkey.contoso.com +short
dig CNAME selector2._domainkey.contoso.com +short

Remarque

La propagation DNS peut prendre de quelques minutes à 48 heures en fonction de votre fournisseur DNS et des paramètres de durée de vie. Si les enregistrements ne se résolvent pas immédiatement, attendez et réessayez.

DKIM ne fonctionne toujours pas après la vérification

Si vous avez effectué toutes les étapes de vérification et que DKIM ne fonctionne toujours pas, utilisez le tableau suivant pour identifier le problème :

Problème Cause possible Résolution
Le statut reste CnameMissing après 48 heures Les enregistrements DNS sont incorrects ou se trouvent dans une zone incorrecte. Vérifiez à nouveau les valeurs à l’aide de la sortie Get-DkimSigningConfig. Vérifiez que les enregistrements se trouvent dans la zone DNS appropriée pour le domaine.
DKIM réussit, mais DMARC échoue toujours Problème d’alignement de domaine DKIM : le domaine d= dans la signature DKIM ne correspond pas au domaine de l’adresse d’expéditeur. Vérifiez que DKIM est configuré pour le domaine exact utilisé dans l’adresse De (y compris les sous-domaines).
DKIM échoue après le transfert des messages Le corps ou les en-têtes du message ont été modifiés par un intermédiaire. Configurez l’intermédiaire en tant que scellant ARC approuvé.
Le commutateur DKIM repasse immédiatement à Désactivé Les enregistrements CNAME sont détectés, mais les clés ne peuvent pas être générées (rares). Contactez Support Microsoft avec la sortie de Get-DkimSigningConfig -Identity contoso.com.
DKIM fonctionne pour un domaine, mais pas pour un autre Le deuxième domaine a sa propre zone DNS et a besoin de ses propres enregistrements CNAME. Chaque domaine ou sous-domaine qui envoie un e-mail a besoin de sa propre paire d’enregistrements CNAME DKIM.

Exemples CNAME spécifiques au fournisseur DNS

Les exemples suivants montrent comment créer les enregistrements CNAME DKIM sur des fournisseurs DNS populaires. Dans tous les exemples, le domaine personnalisé est contoso.com et le domaine initial est contoso.onmicrosoft.com.

Important

Les valeurs cibles CNAME dans les exemples suivants ne sont que des exemples. Vos valeurs réelles incluent un caractère de partition dynamique attribué par Microsoft. Obtenez toujours vos valeurs exactes à partir de :

  • Le portail Defender : page DKIM, > détails du domaine >Publier des enregistrements CNAME.
  • Powershell: Get-DkimSigningConfig -Identity contoso.com | Format-List Selector1CNAME, Selector2CNAME

Exemple de CNAME GoDaddy

Procédez comme suit pour créer les enregistrements CNAME DKIM dans GoDaddy.

  1. Connectez-vous à GoDaddy DNS Management.
  2. Sélectionnez votre domaine (contoso.com).
  3. Sélectionnez Ajouter un enregistrement.
Champ Enregistrement 1 Enregistrement 2
Type CNAME CNAME
Nom selector1._domainkey selector2._domainkey
Valeur selector1-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft selector2-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft
TTL 1 heure 1 heure

Remarque

GoDaddy ajoute automatiquement votre zone de domaine au champ Nom . N’incluez .contoso.com pas dans le nom. Entrez uniquement selector1._domainkey.

Exemple de CNAME Cloudflare

Suivez les étapes suivantes pour créer les enregistrements DKIM de type CNAME dans Cloudflare.

Prudence

Désactivez le proxy Cloudflare (cloud orange) pour les enregistrements CNAME DKIM. Les enregistrements CNAME DKIM doivent être résolus directement dans l’infrastructure Microsoft DKIM. Si le proxy est activé, les recherches DNS retournent les adresses IP de Cloudflare au lieu de la cible CNAME, et la vérification DKIM échoue. Définissez l’status proxy sur DNS uniquement (icône de nuage gris).

  1. Connectez-vous au tableau de bord Cloudflare.
  2. Sélectionnez votre domaine (contoso.com) >DNS>Enregistrements.
  3. Sélectionnez Ajouter un enregistrement.
Champ Enregistrement 1 Enregistrement 2
Type CNAME CNAME
Nom selector1._domainkey selector2._domainkey
Cible selector1-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft selector2-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft
État du proxy DNS uniquement (cloud gris, proxy OFF) DNS uniquement (cloud gris, proxy OFF)
TTL Auto (ou 1 heure) Auto (ou 1 heure)

Prudence

Désactivez le proxy Cloudflare (cloud orange) pour les enregistrements CNAME DKIM. Les enregistrements CNAME DKIM doivent être résolus directement dans l’infrastructure Microsoft DKIM. Si le proxy est activé, les recherches DNS retournent les adresses IP de Cloudflare au lieu de la cible CNAME, et la vérification DKIM échoue. Définissez l’status proxy sur DNS uniquement (icône de nuage gris).

Exemple de CNAME Amazon Route 53

Utilisez les étapes suivantes pour créer les enregistrements CNAME DKIM dans Amazon Route 53.

Remarque

Route 53 exige un point final (.) à la fin de la valeur cible du CNAME pour indiquer un nom de domaine pleinement qualifié. Si vous omettez le point final, Route 53 ajoute le nom de la zone hébergée à la cible, ce qui crée une valeur incorrecte. Les valeurs d’exemple du tableau suivant comprennent le point final requis.

  1. Connectez-vous à AWS Management Console.
  2. Accédez à Zones hébergées> , sélectionnez contoso.com.
  3. Sélectionnez Créer un enregistrement.
Champ Enregistrement 1 Enregistrement 2
Nom de l’enregistrement selector1._domainkey selector2._domainkey
Type d'enregistrement CNAME CNAME
Valeur selector1-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft. selector2-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft.
TTL 3600 3600
Stratégie de routage Routage simple Routage simple

Remarque

Route 53 exige un point final (.) à la fin de la valeur cible du CNAME pour indiquer un nom de domaine pleinement qualifié. Si vous omettez le point final, Route 53 ajoute le nom de la zone hébergée à la cible, ce qui crée une valeur incorrecte.

Exemple d’enregistrement CNAME dans Azure DNS

Utilisez les étapes suivantes pour créer les enregistrements CNAME DKIM dans Azure DNS.

  1. Connectez-vous au Portail Azure.
  2. Accédez à Zones DNS>, puis sélectionnez contoso.com.
  3. Sélectionnez + Ensemble d’enregistrements.
Champ Enregistrement 1 Enregistrement 2
Nom selector1._domainkey selector2._domainkey
Type CNAME CNAME
Alias selector1-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft selector2-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft
TTL 1 heure 1 heure
Unité TTL Heures Heures

Remarque

Azure DNS ne nécessite pas de point de fin pour les cibles CNAME. Le portail gère automatiquement la mise en forme du nom de domaine complet. N’ajoutez pas de point final dans le portail Azure.

Azure DNS via l’interface CLI

En guise d’alternative au portail Azure, vous pouvez utiliser le Azure CLI pour automatiser la création des enregistrements CNAME du sélecteur DKIM dans Azure DNS. Les commandes suivantes créent des enregistrements CNAME du sélecteur et définissent le TTL sur 3 600 secondes pour votre domaine personnalisé :

# Create selector1 CNAME
az network dns record-set cname set-record \
  --resource-group MyDNSResourceGroup \
  --zone-name contoso.com \
  --record-set-name "selector1._domainkey" \
  --cname "selector1-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft"

# Create selector2 CNAME
az network dns record-set cname set-record \
  --resource-group MyDNSResourceGroup \
  --zone-name contoso.com \
  --record-set-name "selector2._domainkey" \
  --cname "selector2-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft"

# Set TTL to 3600 seconds
az network dns record-set cname update \
  --resource-group MyDNSResourceGroup \
  --zone-name contoso.com \
  --name "selector1._domainkey" \
  --set ttl=3600

az network dns record-set cname update \
  --resource-group MyDNSResourceGroup \
  --zone-name contoso.com \
  --name "selector2._domainkey" \
  --set ttl=3600

Résumé des exigences du fournisseur DNS

Fournisseur Point final nécessaire ? Ajoute automatiquement un domaine ? Notes sur le proxy/CDN
GoDaddy Non Oui (ajout automatique de la zone) S/O
Cloudflare Non Oui (ajout automatique de la zone) Doit désactiver le proxy (DNS uniquement / cloud gris)
Itinéraire 53 Oui (obligatoire) Non S/O
Azure DNS Non (le portail le gère) Oui (ajout automatique de la zone) S/O
Namecheap Non Oui (ajout automatique de la zone) S/O
Google Domaines / DNS Cloud Non Oui (ajout automatique de la zone) S/O

Étapes suivantes

Comme décrit dans Comment SPF, DKIM et DMARC fonctionnent ensemble pour authentifier les expéditeurs de messages électroniques, DKIM seul ne suffit pas pour empêcher l’usurpation de votre domaine Microsoft 365. Vous devez également configurer SPF et DMARC pour une protection optimale. Pour plus d’informations, voir :

Pour le courrier entrant dans Microsoft 365, vous devrez peut-être également configurer des scellants ARC approuvés si vous utilisez des services qui modifient les messages en transit avant leur remise à votre organization. Pour plus d’informations, consultez Configurer des scellants ARC approuvés.

Pour diagnostiquer et corriger les échecs d’authentification par e-mail, consultez Résoudre les problèmes d’authentification par e-mail dans Microsoft 365.

Conseil

Exchange 2016 et versions ultérieures sont connues pour modifier les messages qui circulent à travers eux, ce qui peut affecter DKIM.

  • Dernière mise à jour :