Considérations relatives aux clés DKIM

Vue d’ensemble

Lorsque vous signez vos e-mails numériquement avec un DomainKeys Identified Mail (DKIM), la clé prouve que le message provient de votre domaine. Cette signature est une norme de l'industrie.

Salesforce utilise des paires de clés DKIM pour signer les e-mails sortants envoyés au nom de votre société, ce qui renforce la réputation de votre domaine en tant qu'expéditeur légitime. Chaque paire de clés DKIM comprend une clé privée et une clé publique. Salesforce publie la clé publique et les clés privées sont stockées dans Salesforce. Ces clés liées vérifient votre domaine d'envoi d'e-mails et aident à vérifier l'authenticité de vos e-mails sortants.

Pendant le transport du courrier, Salesforce utilise votre clé privée pour générer une signature DKIM, puis ajoute cette signature aux e-mails sortants. Lorsque le destinataire reçoit l'e-mail, la signature DKIM est validée par rapport à la clé publique via l'enregistrement DNS public de votre domaine. Cette validation prouve que l'expéditeur est celui qu'il prétend être.

Dans Salesforce, une clé DKIM active vérifie également que vous êtes propriétaire du domaine. Salesforce peut envoyer des e-mails au nom de vos utilisateurs uniquement lorsque le domaine et l'adresse e-mail sont vérifiés. Pour plus d'informations, consultez Configuration requise pour envoyer un e-mail depuis Salesforce.

Rotation de clé DKIM

Pour plus de sécurité, Salesforce permute vos clés DKIM tous les 30 jours. Le cycle de rotation commence lorsqu'une paire de clés DKIM est créée et publiée.

Une paire de clés DKIM contient une clé publique et une clé privée.

• Clé DKIM primaire : Votre paire de clés DKIM publique-privée principale et active.
• Autre clé DKIM : Votre paire de clés publique-privée secondaire et inactive, utilisée pour remplacer la paire de clés primaire pendant la rotation.

Lorsque vous configurez une clé DKIM, vous configurez des enregistrements CNAME qui pointent vers les paires de clés privées primaire et secondaire. Salesforce permute les clés pour vous.

Chronologie de rotation

Voici la chronologie des événements qui commencent la première fois qu'une clé DKIM est publiée. Après avoir activé une clé DKIM, Salesforce exécute pour vous chacune de ces actions.

• Jour 0 : La paire de clés DKIM primaire est publiée.
• Jour 25 : Salesforce crée une paire de clés DKIM alternative pour préparer la rotation. Salesforce publie la paire de clés alternative dans DNS, 5 jours avant la rotation, afin de permettre à tous les serveurs DNS de connaître la nouvelle paire de clés.
• Jour 30 : Salesforce marque la paire de clés alternative comme active et signe les e-mails avec la nouvelle clé active pour les 30 prochains jours.

Plusieurs paires de clés DKIM

Si plusieurs clés DKIM actives correspondent au domaine d'envoi, Salesforce utilise la clé dont le schéma de correspondance du domaine est le plus long. Si plusieurs clés actives ont le même schéma de correspondance le plus long, Salesforce sélectionne aléatoirement l'une des clés à utiliser.

Exemple : Vous envoyez un e-mail depuis Salesforce avec le domaine sales.mail.exemple.com. Si des paires de clés DKIM existent pour ces trois modèles de correspondance de domaine, Salesforce utilise les clés dans cet ordre.

• .sales.mail.exemple.com
• .mail.exemple.com
• .exemple.com

Interrogation de vos clés DKIM

Pour apprendre à interroger vos clés DKIM et vos domaines de messagerie autorisés, consultez Obtention d'une liste de vos domaines d'envoi d'e-mails vérifiés

DKIM pour la vérification des e-mails au niveau du domaine

Salesforce nécessite une vérification des e-mails au niveau du domaine et au niveau de l'utilisateur. Salesforce peut envoyer des e-mails au nom de vos utilisateurs uniquement lorsque les deux niveaux de vérification sont terminés.

Pour la vérification au niveau du domaine, le nom de domaine d'une clé DKIM active doit correspondre au domaine complet affiché dans l'adresse 'De'. Pour éviter les échecs de livraison, activez une clé DKIM séparée pour chaque domaine et sous-domaine d'envoi d'e-mails. Consultez Configuration requise pour envoyer un e-mail depuis Salesforce.

DKIM pour la vérification des e-mails au niveau de l'utilisateur

À la demande de nos clients, Salesforce offre la possibilité d'utiliser la vérification au niveau du domaine pour contourner l'exigence de vérification par e-mail au niveau de l'utilisateur. Cependant, Salesforce ne recommande pas cette option en raison des risques de sécurité. Pour protéger votre marque et votre activité, Salesforce recommande vivement d'activer Exiger la vérification par e-mail pour toutes les clés DKIM actives. Consultez Considérations relatives à l'envoi d'e-mails depuis Salesforce.