Entre ton domaine : en 8 secondes, tu sais si tes emails portent une signature que les messageries peuvent vérifier — et chez quel service l'activer si ce n'est pas le cas.
DKIM ajoute une signature invisible à chaque email qui part de ton domaine. À l'arrivée, Gmail ou Outlook retrouve la clé publique dans ton DNS et vérifie que le message n'a pas été modifié en route, et qu'il vient bien d'un service que tu as autorisé.
Sans DKIM, tes emails ne sont pas « faux », mais ils n'ont aucune preuve d'origine. Les messageries les traitent avec méfiance, surtout quand ils sont transférés — la signature survit au transfert, la vérification SPF, non.
Chaque service qui signe tes emails publie sa clé sous un nom appelé sélecteur : google pour Google Workspace, selector1 et selector2 pour Microsoft 365, brevo1 et brevo2 pour Brevo, mailjet pour Mailjet, ovhmo1 pour OVH… Tu peux donc avoir plusieurs clés DKIM en même temps, une par outil.
Ce nom n'est pas dans ton DNS « en clair » : il faut le connaître pour aller lire la clé. C'est pour ça qu'un scan ne peut sonder que les sélecteurs connus — ceux des services qu'il détecte chez toi, plus la vingtaine de noms les plus courants. Un sélecteur exotique ne sera pas vu, même s'il fonctionne.
Toujours en deux temps : tu génères la clé dans le service qui envoie (console Google Workspace, centre d'administration Microsoft 365, réglages « domaines » de Brevo ou Mailjet), puis tu colles l'enregistrement qu'il te donne dans la zone DNS de ton domaine, chez ton hébergeur. Nos guides donnent le chemin de clics exact pour chaque couple service + hébergeur.
Il détecte les services qui envoient chez toi (messagerie, hébergeur, outils d'envoi), sonde leurs sélecteurs DKIM et les plus courants, et te dit si au moins une clé valide répond. Il vérifie aussi SPF et DMARC, et te rend un score sur 100 avec la liste claire de ce qui cloche.
Ce qu'il ne mesure pas : si la signature est réellement apposée sur tes envois. Ça, ce sont les rapports DMARC qui le montrent — d'où l'intérêt de vérifier DMARC dans la foulée.
Soit la clé n'est pas encore publiée dans le DNS (compte quelques heures après l'ajout), soit ton service utilise un sélecteur que le scan ne connaît pas. Dans ce cas, envoie-toi un email et regarde l'en-tête DKIM-Signature : le sélecteur y figure après s=.
Non. Chaque service qui envoie en ton nom signe avec sa propre clé, sous son propre sélecteur. Ta messagerie, ton outil de newsletters et ta facturation ont donc chacun leur enregistrement DKIM à publier.
Non, ils se complètent. SPF déclare qui a le droit d'envoyer ; DKIM prouve que le message est intact et vient bien de toi. DMARC s'appuie sur les deux : il suffit que l'un des deux passe et soit aligné avec ton domaine.
La signature prouve l'origine, pas la qualité. Réputation de l'expéditeur, contenu, listes d'envoi anciennes, rythme d'envoi : tout ça compte aussi. Notre guide « emails en spam malgré SPF, DKIM et DMARC » détaille les causes.
Oui : sans inscription, sans carte bancaire, autant de fois que tu veux. Seule la surveillance quotidienne avec bulletin hebdomadaire est payante.
Le scan est gratuit et sans inscription ; si tu veux qu'on surveille ton domaine tous les jours avec un bulletin chaque semaine, la veille existe à partir de 25 € HT/mois — voir les tarifs.