Rotation des clés DKIM : pourquoi, quand et comment (sans rien casser)

La méthode du double sélecteur (sans interruption)

Voici le cœur du sujet. La rotation sûre repose sur le fait qu'un domaine peut avoir plusieurs sélecteurs actifs en même temps (voir le sélecteur). La séquence :

1. Générer une nouvelle clé sous un nouveau sélecteur (par exemple s2), et publier sa clé publique en DNS — sans toucher à l'ancien sélecteur (s1).
2. Laisser propager et vérifier que la nouvelle clé publique est bien visible partout.
3. Basculer la signature côté plateforme pour qu'elle signe désormais avec s2.
4. Surveiller quelques jours : confirmer que les nouvelles signatures (s2) passent et s'alignent dans les rapports agrégés.
5. Retirer l'ancien sélecteur (s1) — mais seulement après un délai suffisant.

Pendant toute la transition, les deux sélecteurs coexistent : le courrier signé avec l'ancienne clé reste vérifiable, le nouveau aussi. C'est ce chevauchement qui rend la rotation sans interruption.

Le piège à éviter absolument

L'erreur classique, c'est de retirer l'ancien sélecteur trop tôt. Du courrier signé avec l'ancienne clé peut encore être en transit, en file d'attente, ou stocké pour un envoi différé. Supprimer son sélecteur avant que tout soit délivré fait échouer sa signature à la vérification — alors que le message est parfaitement légitime. La règle : laisser l'ancien sélecteur en place plusieurs jours après la bascule de la signature, le temps que tout l'ancien courrier ait été traité. Mieux vaut un sélecteur de trop quelques jours qu'une signature cassée.

L'autre extrême : les sélecteurs fantômes

Le retrait trop tôt casse des signatures ; l'absence de retrait crée un autre problème. Un ancien sélecteur laissé publié indéfiniment reste une clé valide aux yeux des destinataires : quiconque détient la clé privée correspondante — une sauvegarde oubliée, un ancien serveur, un prestataire quitté — peut encore signer du courrier vérifiable au nom du domaine, des années après. Chaque rotation doit donc se conclure par le retrait effectif de l'ancien enregistrement DNS, une fois le délai de chevauchement écoulé. Bonne pratique complémentaire : tenir un inventaire des sélecteurs réellement publiés sur le domaine, et le passer en revue de temps en temps. Les sélecteurs fantômes s'accumulent en silence au fil des plateformes essayées puis abandonnées, et chacun est une porte dérobée potentielle qu'aucun rapport ne signalera spontanément.

Rotation manuelle ou automatisée

Deux approches, selon la configuration en place :

• Automatisée. Quand la signature passe par une plateforme qui propose le CNAME (Microsoft 365, beaucoup de SaaS), la rotation est souvent prise en charge : le prestataire fait tourner la clé derrière le CNAME publié une fois pour toutes. C'est l'idéal — rien à faire côté domaine.
• Manuelle. Avec une infrastructure opérée en propre, ou des TXT publiés en dur, la rotation se pilote à la main, selon la séquence du double sélecteur ci-dessus. C'est plus de travail, mais parfaitement faisable avec une procédure écrite et un calendrier.

Où stocker les clés privées DKIM

La rotation ne sert à rien si les clés privées traînent dans un fichier de configuration accessible ou un e-mail. La clé privée DKIM est un secret critique : quiconque l'obtient peut signer du courrier au nom du domaine. Elle mérite donc le même soin que n'importe quel secret de production — stockage chiffré, accès tracé, rotation outillée.

DMARC.com est édité par Hucency, spécialiste de la cybersécurité ; pour centraliser et chiffrer ce type de secrets — clés privées DKIM, identifiants DNS, jetons d'API — et en orchestrer la rotation, il y a Hucency Vault. Une bonne politique de rotation DKIM suppose un endroit sûr où vivent les clés ; le coffre est ce maillon souvent négligé.

Construire un calendrier de rotation

La meilleure rotation est celle qu'on n'a pas à se rappeler de faire. Plutôt que de s'en remettre à la mémoire, la rotation DKIM s'inscrit dans un calendrier de sécurité, au même titre que le renouvellement des certificats TLS. Une cadence semestrielle ou annuelle, notée à l'avance, transforme un geste anxiogène en routine prévisible. La procédure se documente une fois — quel sélecteur, quelle plateforme, quelle taille de clé, combien de jours de chevauchement — et chaque rotation suivante n'est plus qu'une exécution, pas une réinvention. Pour les domaines à plusieurs plateformes, mieux vaut échelonner les rotations que tout faire le même jour : la surface de risque reste bornée si une bascule se passe mal, et l'attention demeure disponible pour surveiller chaque transition une par une.

Cas d'urgence : une clé compromise

La rotation planifiée est une chose ; la rotation d'urgence en est une autre. À la moindre raison de penser qu'une clé privée a fuité — serveur compromis, sauvegarde exposée, départ d'un prestataire avec des accès — l'échéance planifiée n'a plus lieu d'être : la rotation s'engage immédiatement. La séquence reste la même (nouveau sélecteur, nouvelle clé, bascule de la signature), mais le chevauchement se raccourcit et l'ancienne clé est révoquée dès que possible par la publication d'un p= vide à son sélecteur, ce qui invalide toute signature s'en réclamant. Une clé compromise qu'on laisse vivre, c'est une porte ouverte à l'usurpation signée : l'attaquant produit des messages qui passent DKIM au nom du domaine, le pire scénario possible. Le bon réflexe est celui d'une fuite de mot de passe — rotation et révocation sans délai — et l'incident se documente pour la traçabilité.

Vérifier qu'une rotation s'est bien passée

Après une rotation, deux contrôles suffisent :

1. Le nouveau sélecteur signe et s'aligne : les rapports doivent montrer les signatures s2 qui passent. Voir comment vérifier une signature email.
2. Aucune signature légitime ne casse pendant la transition : l'absence d'échecs DKIM soudains sur les vraies sources se surveille de près.

Notre analyseur gratuit confirme la présence et la validité des clés publiques au sélecteur courant, un coup d'œil utile juste après une bascule.

Questions fréquentes

À quelle fréquence renouveler ? Tous les six mois à un an pour la plupart des cas. L'important est que ce soit planifié et systématique, pas la fréquence parfaite.

La rotation interrompt-elle l'envoi ? Non, avec la méthode du double sélecteur : les deux clés coexistent pendant la transition, donc aucune interruption.

Quand puis-je retirer l'ancien sélecteur ? Plusieurs jours après la bascule de la signature, le temps que tout l'ancien courrier ait été délivré. Retirer trop tôt casse des signatures légitimes.

Ma plateforme gère-t-elle la rotation ? Avec un CNAME fourni par le prestataire, probablement oui. Avec des TXT publiés en dur, le pilotage revient à l'administrateur du domaine.

Faut-il changer de sélecteur à chaque rotation ? Oui, c'est tout l'intérêt : une nouvelle clé sous un nouveau sélecteur permet le chevauchement sans interruption. Réutiliser le même sélecteur pour une nouvelle clé crée une fenêtre où les signatures échouent.

DKIM et conformité : ce que les référentiels attendent

Dans un environnement réglementé — finance, santé, collectivités — la rotation des clés DKIM peut ne plus être un simple choix de bonne pratique, mais une exigence documentée. Des référentiels comme ISO 27001 (contrôles cryptographiques §A.10) ou NIS2 attendent une politique de gestion des secrets qui inclut leur renouvellement périodique. Une clé DKIM posée il y a cinq ans et jamais renouvelée est difficilement défendable lors d'un audit. La traçabilité compte aussi : qui a généré la clé, quand, quelle taille, quelle est la date de prochaine rotation — autant d'éléments que les auditeurs peuvent demander. Tenir un journal de rotation DKIM simple (date, sélecteur, plateforme, taille) désamorce ces situations sans effort, et montre que la sécurité email est pilotée, pas subie. Ce n'est pas beaucoup de travail, mais c'est exactement ce qui fait la différence entre « on gère » et « on documente qu'on gère ».

Thomas rythme les rotations

Une rotation oubliée laisse vieillir une clé ; une rotation bâclée casse des signatures. Thomas, le RSSI virtuel, suit l'âge des clés DKIM d'un domaine, signale le moment venu de tourner, guide la séquence du double sélecteur, et vérifie sur les rapports que la bascule s'est faite sans casse.

Analyser un domaine gratuitement ou créer un compte pour des clés DKIM toujours fraîches et bien gardées.