Amazon SES : aligner SPF et DKIM pour DMARC

Amazon SES (Simple Email Service) occupe une place particulière dans le paysage des plateformes d'envoi : facturé au message, piloté par API ou par SMTP, il sert aussi bien les e-mails transactionnels d'une application que des campagnes à fort volume. Cette souplesse a une contrepartie côté authentification : contrairement à une suite bureautique où DKIM s'active en deux clics, SES laisse à l'expéditeur le soin de câbler lui-même l'alignement — et la configuration par défaut, une fois l'identité de domaine vérifiée, ne suffit pas à faire passer DMARC.

Le malentendu le plus répandu tient à cette étape de vérification. Ajouter un domaine dans SES et le « vérifier » prouve seulement que la console a la main sur la zone DNS ; cela n'aligne ni SPF ni DKIM. Tant que rien de plus n'est posé, l'enveloppe des messages part sous un sous-domaine d'amazonses.com et aucune signature ne porte le domaine affiché dans le champ From. Un destinataire qui applique une politique p=reject rejette alors ce trafic pourtant légitime.

Ce guide détaille les trois briques qui rendent SES compatible avec DMARC : l'Easy DKIM et ses trois CNAME, le domaine MAIL FROM personnalisé qui va chercher l'alignement SPF, et l'alternative BYODKIM pour les organisations qui refusent toute délégation. Puis les erreurs de configuration les plus fréquentes, et la contre-épreuve finale — la lecture des rapports RUA.

Easy DKIM : trois CNAME, une signature alignée

L'option recommandée s'appelle Easy DKIM. À l'activation sur une identité de domaine, SES génère une paire de clés et publie la clé publique de son côté ; l'expéditeur, lui, pose trois enregistrements CNAME dans la zone du domaine — ici exemple.fr :

xxxx1._domainkey.exemple.fr.  CNAME  xxxx1.dkim.amazonses.com.
xxxx2._domainkey.exemple.fr.  CNAME  xxxx2.dkim.amazonses.com.
xxxx3._domainkey.exemple.fr.  CNAME  xxxx3.dkim.amazonses.com.

Les trois préfixes (des jetons opaques propres à l'identité) correspondent à trois sélecteurs DKIM. La logique est celle d'une délégation : la clé n'est pas copiée dans la zone du domaine, elle vit chez Amazon, et le CNAME fait le pont. Quand un serveur destinataire vérifie une signature d=exemple.fr; s=xxxx1, la résolution DNS suit le CNAME et récupère la clé chez SES, de façon transparente. Trois sélecteurs sont provisionnés d'emblée pour permettre la rotation des clés sans intervention manuelle sur la zone — une hygiène cryptographique déléguée à qui l'industrialise.

L'essentiel pour DMARC : la signature produite porte d=exemple.fr, le domaine organisationnel lui-même, et non un domaine d'Amazon. L'alignement DKIM est donc acquis, y compris en mode strict. Sur ce seul mécanisme, DMARC passe déjà — à condition que les trois CNAME soient bien propagés et que la clé soit détectée comme active dans la console.

Identité de domaine, sous-domaine et sortie du bac à sable

Avant même l'authentification, SES impose deux choix structurants qui pèsent sur DMARC. Le premier est le périmètre de l'identité vérifiée : SES distingue l'identité de domaine et l'identité d'adresse. Vérifier une adresse isolée (contact@exemple.fr) autorise l'envoi depuis cette seule boîte, mais n'active pas l'Easy DKIM à l'échelle du domaine — la signature alignée ne suit pas. Pour un usage sérieux, c'est l'identité de domaine qu'il faut vérifier : elle couvre toutes les adresses du domaine et, surtout, elle porte la configuration DKIM. Un sous-domaine dédié à l'envoi transactionnel (mailer.exemple.fr) peut d'ailleurs constituer une identité distincte, avec ses propres clés — une segmentation utile quand un flux applicatif doit rester isolé du courrier humain.

Le second choix tient au bac à sable. Tout nouveau compte SES démarre en mode sandbox : l'envoi n'est possible que vers des adresses elles-mêmes vérifiées, et le volume est plafonné. Cette contrainte n'a rien à voir avec l'authentification, mais elle brouille souvent le diagnostic : un test qui « ne part pas » relève parfois du bac à sable, pas d'une erreur DKIM. La sortie du bac à sable se demande à AWS et conditionne l'envoi vers des destinataires arbitraires — étape à franchir avant toute campagne de vérification DMARC à grande échelle.

Sur la cryptographie enfin, l'Easy DKIM provisionne par défaut des clés RSA de 2048 bits, robustes et acceptées partout. SES gère leur rotation de façon transparente grâce aux trois sélecteurs ; il n'y a donc aucune raison de conserver une clé ancienne. La longueur 1024 bits, encore tolérée par certains outils hérités, est à proscrire pour toute nouvelle configuration : plusieurs opérateurs de messagerie la considèrent désormais comme faible.

Un dernier dispositif mérite attention pour le suivi : les configuration sets. Ils attachent aux envois un flux d'événements — remises, plaintes, rebonds — exportable vers d'autres services AWS. Sans rapport direct avec l'alignement, ils complètent utilement la lecture RUA : là où les rapports agrégés disent comment le trafic est authentifié du point de vue des destinataires, les événements SES disent ce qu'il devient une fois remis. Croiser les deux sources accélère le diagnostic quand une source légitime se met soudain à échouer.