Sélecteur DKIM

Un sélecteur DKIM est l’identifiant du champ s= de la signature. Avec le domaine signataire, il détermine où le destinataire trouve la clé publique de vérification. DKIM utilise pour cela un nom DNS sous _domainkey.

Associer une clé précise

Dans la conception de test fictive, le message K-658 porte les valeurs s=mail et d=firma.example. Le nom DNS correspondant est mail._domainkey.firma.example. Cet exemple est construit ; aucune clé n’a été interrogée et aucune signature n’a été vérifiée ici.

Pour l’exploitation, l’équipe consigne le service d’envoi qui utilise ce sélecteur et la personne responsable de l’enregistrement associé. Le sélecteur n’est pas lui-même une clé secrète. La présence d’une clé publique ne prouve pas à elle seule la validité de la signature du message concerné.

Coordonner le changement avec l’envoi

Plusieurs sélecteurs permettent des clés distinctes et un changement organisé. Lors du remplacement d’une clé, tenez aussi compte des messages déjà envoyés mais pas encore vérifiés. Définissez donc la transition et le contrôle avant de retirer l’ancien enregistrement public. Le nom du sélecteur ne confirme à lui seul ni une personne ni l’alignement DMARC.

Sources

• IETF: DKIM Signatures