DKIM (DomainKeys Identified Mail)
Une signature numérique sur le courrier sortant, vérifiée contre une clé publique dans le DNS, qui prouve que le message n'a pas été altéré et provient bien du domaine qui l'a signé.
DKIM signe chaque message sortant avec une clé privée détenue par le serveur expéditeur. La clé publique correspondante est publiée dans le DNS à <selector>._domainkey.<domain>. Le serveur destinataire la récupère, vérifie la signature, et sait que le message a été envoyé par un serveur qui détient la clé et n'a pas été modifié depuis.
Le sélecteur est un nom qui permet à un domaine de publier plusieurs clés à la fois, par exemple une par fournisseur de messagerie ou une par année. Le message signé transporte le sélecteur dans son en-tête DKIM-Signature (la balise s=), de sorte que le destinataire sait quelle clé récupérer.
Contrairement à SPF, DKIM survit au transfert de courrier : la signature voyage avec le message. C'est le plus solide des deux pour l'alignement DMARC, et celui que vous voulez voir fonctionner en premier. Les clés devraient être en RSA 2048 bits ou en Ed25519, et les renouveler une fois par an est une bonne pratique.