Pour les organisations qui migrent vers Microsoft 365 ou renforcent leur sécurité, le paramétrage DKIM pour Microsoft 365 s’inscrit dans une démarche globale d’authentification email. Combiné aux protocoles SPF et DMARC, il réduit significativement les risques d’usurpation d’identité et de phishing ciblant votre domaine. Cette étape est d’autant plus critique lors d’un basculement DNS et routage messagerie Exchange Online, où la continuité de service dépend d’une configuration DNS rigoureuse.
Cet article, rédigé par les experts Eliadis, partenaire Microsoft spécialisé dans les environnements Microsoft 365, vous guide pas à pas dans l’activation de DKIM sur un domaine Exchange Online : des prérequis DNS jusqu’à la validation finale depuis le Centre d’administration Exchange.
À retenir :
- Les enregistrements CNAME DKIM permettent une authentification des emails sortants sur Exchange Online.
- Configurer DKIM protège la réputation du domaine et aide à réduire le phishing et l’usurpation d’identité.
- DKIM s’intègre avec SPF et DMARC pour une sécurité renforcée des emails.
- La création de deux enregistrements CNAME est essentielle pour activer DKIM sur votre domaine.
- Une bonne gouvernance DKIM inclut la rotation régulière des clés et le contrôle continu des domaines.
- La combinaison de DKIM, SPF et DMARC est cruciale pour prévenir le spam et améliorer la délivrabilité des emails.
Comprendre le rôle des enregistrements DKIM dans Exchange Online
DKIM (DomainKeys Identified Mail) est un mécanisme d’authentification email qui permet de vérifier cryptographiquement qu’un message sortant provient bien du domaine déclaré. Dans le contexte de Microsoft 365, sa configuration repose sur des enregistrements DNS de type CNAME publiés dans la zone de votre domaine.
Principe de la signature DKIM et lien avec les enregistrements CNAME
Lorsqu’un email quitte votre tenant Exchange Online, le serveur y appose une signature numérique générée à partir d’une clé privée gérée par Microsoft. Le destinataire peut ensuite vérifier cette signature grâce à la clé publique, accessible via les enregistrements CNAME pointant vers l’infrastructure Microsoft. Selon la documentation officielle Microsoft, DKIM utilise des enregistrements CNAME pour permettre à Microsoft 365 de signer les emails de votre domaine cloud (Source : Microsoft — 2026-01-31). Ce mécanisme de délégation via CNAME présente un avantage opérationnel majeur : la rotation des clés est gérée automatiquement par Microsoft, sans intervention manuelle de votre part sur le DNS.
Pour la sécurisation de la messagerie sortante via DKIM, deux enregistrements CNAME doivent être créés dans la zone DNS de votre domaine personnalisé. Ils pointent respectivement vers selector1-domaine-com._domainkey.tenant.onmicrosoft.com et selector2-domaine-com._domainkey.tenant.onmicrosoft.com. Pour faciliter votre plan de bascule Exchange Online sans interruption de service, il est conseillé de prépublier ces enregistrements avant l’activation DKIM dans le portail Microsoft Defender for Office 365.
Avantages en matière de sécurité et de réputation d’expéditeur
La mise en place de DKIM pour Office 365 réduit significativement les risques de spoofing et de phishing au nom de votre domaine. Les serveurs de messagerie destinataires utilisent la signature pour s’assurer que l’en-tête du message n’a pas été altéré en transit. Sur le plan de la réputation, les grandes plateformes (Gmail, Outlook.com) valorisent les domaines correctement authentifiés, ce qui améliore la délivrabilité des emails professionnels et limite leur classement en spam.
| Scénario | Risque de spoofing | Délivrabilité | Conformité DMARC |
|---|---|---|---|
| DKIM non configuré | Élevé | Dégradée | Impossible |
| DKIM activé seul | Modéré | Améliorée | Partielle |
| DKIM + SPF + DMARC | Faible | Optimale | Complète |
Intégration de DKIM avec SPF et DMARC
L’authentification email Microsoft 365 repose sur trois protocoles complémentaires. SPF déclare les serveurs autorisés à envoyer pour votre domaine, DKIM garantit l’intégrité du message par signature cryptographique, et DMARC définit la politique de traitement des messages qui échouent aux contrôles SPF ou DKIM. Ces trois mécanismes forment un dispositif de protection contre le phishing et le spoofing reconnu comme standard dans les environnements Exchange Online. Pour tirer pleinement parti des capacités de Microsoft Defender for Office 365, la configuration complète de cette triade est indispensable avant d’activer les politiques de conformité avancées.
Créer les enregistrements CNAME DKIM pour Microsoft 365
Pour activer DKIM sur votre domaine, vous devez créer deux enregistrements CNAME précis dans votre DNS public. Ces enregistrements permettent à Microsoft 365 de signer les messages sortants avec les clés cryptographiques associées à votre domaine.
Format exact des enregistrements CNAME DKIM requis
Microsoft définit un format strict pour les enregistrements CNAME DKIM. Selon Microsoft, les enregistrements CNAME doivent utiliser selector1._domainkey et selector2._domainkey comme noms d’hôte, pointant chacun vers un alias spécifique de la plateforme Microsoft 365. La valeur cible suit le modèle selector1-<Domain>-_domainkey.<tenant>.<partition>-v1.dkim.mail.microsoft pour le premier sélecteur. (Source : Microsoft — 2026-01-31)
| Nom de l’enregistrement | Type | Valeur cible (exemple) |
|---|---|---|
| selector1._domainkey.votredomaine.fr | CNAME | selector1-votredomaine-fr._domainkey.votretenant.onmicrosoft.com |
| selector2._domainkey.votredomaine.fr | CNAME | selector2-votredomaine-fr._domainkey.votretenant.onmicrosoft.com |
Les valeurs exactes à utiliser sont générées automatiquement dans le portail Microsoft Defender 365, sous la section de configuration DKIM. Il est essentiel de les copier telles quelles, sans modification, pour garantir la validité de la signature.
Comprendre les deux sélecteurs : selector1 et selector2
Microsoft 365 utilise deux sélecteurs DKIM — selector1._domainkey et selector2._domainkey — pour permettre une rotation des clés cryptographiques sans interruption de service. À un instant donné, l’un des sélecteurs est actif pour la signature des messages sortants, tandis que l’autre reste en réserve. Cette architecture de redondance est gérée automatiquement par Microsoft lors de la rotation périodique des clés, à condition que les deux enregistrements CNAME soient correctement publiés dans le DNS public.
Configurer les enregistrements chez votre fournisseur DNS public
La création des enregistrements s’effectue directement dans l’interface d’administration de votre fournisseur d’hébergement de domaine (OVH, Gandi, Cloudflare, GoDaddy, etc.). La procédure générale est la suivante :
- Connectez-vous à l’interface DNS de votre fournisseur d’hébergement de domaine.
- Accédez à la zone DNS de votre domaine concerné.
- Créez un premier enregistrement de type CNAME avec le nom
selector1._domainkeyet la valeur fournie par Microsoft 365. - Créez un second enregistrement de type CNAME avec le nom
selector2._domainkeyet sa valeur correspondante. - Enregistrez les modifications et attendez la propagation DNS (généralement entre 15 minutes et 48 heures).
Certains fournisseurs DNS requièrent que le nom de l’enregistrement soit saisi sans le nom de domaine de base (ex. : selector1._domainkey uniquement), d’autres demandent le FQDN complet. Référez-vous à la documentation de votre fournisseur pour éviter les erreurs de syntaxe. Pour des détails complémentaires sur les paramètres DNS compatibles avec Exchange Online, vous pouvez également consulter les paramètres DNS recommandés pour Exchange Online publiés par Microsoft.
Une fois les deux CNAME publiés et propagés, vous pourrez passer à l’activation DKIM depuis le portail Defender pour finaliser la configuration des enregistrements DNS pour DKIM Exchange Online.
Activer et vérifier DKIM dans le Centre d’administration Microsoft 365
Pour sécuriser vos envois depuis Exchange Online, l’activation de la signature DKIM s’effectue directement depuis le Microsoft 365 Defender Portal, en quelques étapes structurées. Une vérification rigoureuse de la propagation DNS et du statut final est indispensable avant de considérer la configuration comme opérationnelle.
Activer la signature DKIM depuis le Microsoft Defender Portal
Rendez-vous sur le Microsoft 365 Defender Portal (security.microsoft.com), puis accédez à Email & Collaboration > Policies & Rules > Threat Policies > Email Authentication Settings. Sélectionnez l’onglet DKIM, puis choisissez le domaine pour lequel vous souhaitez activer la signature. Si vos enregistrements CNAME ont bien été publiés chez votre fournisseur DNS, le bouton Enable devient actif. Cliquez dessus pour déclencher l’activation DKIM cloud Microsoft 365. En cas d’erreur, le portail vous indique généralement que les enregistrements CNAME sont introuvables ou non propagés, ce qui impose de patienter avant une nouvelle tentative.
Contrôler la propagation DNS avant activation
La propagation DNS est une étape critique souvent sous-estimée. Avant toute activation dans le portail, utilisez des outils comme nslookup ou des vérificateurs DNS en ligne pour confirmer que les deux enregistrements CNAME (selector1 et selector2) sont bien résolus publiquement. Selon Microsoft, la propagation DNS des enregistrements CNAME peut prendre jusqu’à 48 heures (Source : Microsoft — 2025-11-10). Il est donc conseillé de ne pas tenter l’activation prématurément, au risque d’obtenir un statut d’erreur persistant. Pour les configurations complexes multi-domaines, consultez également la documentation officielle sur les paramètres DNS pour Exchange Online afin d’anticiper les cas particuliers.
Vérifier le statut DKIM via PowerShell Get-DkimSigningConfig
Une fois l’activation effectuée, la vérification DKIM Exchange Online peut s’opérer directement via PowerShell, offrant un niveau de détail supérieur à l’interface graphique. Connectez-vous à Exchange Online PowerShell, puis exécutez la commande suivante :
Get-DkimSigningConfig -Identity votredomaine.com | Format-List
Cette commande Get-DkimSigningConfig retourne l’ensemble des paramètres de signature DKIM pour le domaine ciblé. Les champs à contrôler sont :
| Paramètre | Valeur attendue | Signification |
|---|---|---|
| Enabled | True | La signature DKIM est active |
| Status | Valid | Les enregistrements CNAME sont résolus |
| Selector1CNAME | selector1-domain-com._domainkey.domain.onmicrosoft.com | Premier sélecteur publié |
| Selector2CNAME | selector2-domain-com._domainkey.domain.onmicrosoft.com | Second sélecteur publié |
Si le statut retourné est Invalid ou CnameMissing, la propagation DNS n’est pas finalisée ou une erreur de saisie des enregistrements subsiste. Les commandes PowerShell DKIM Verification permettent ainsi un diagnostic précis, particulièrement utile dans les environnements d’entreprise administrés par des équipes IT. La maîtrise de ces outils prépare naturellement à l’étape suivante : la mise en place de DMARC pour compléter votre stratégie d’authentification des emails.
Bonnes pratiques et gouvernance DKIM pour une messagerie sécurisée
Une gouvernance DKIM bien structurée repose sur trois piliers : la rotation régulière des clés, l’alignement avec SPF et DMARC, et le contrôle continu des domaines actifs. Ces mesures forment ensemble une politique de sécurité de messagerie cohérente et défendable face aux audits.
Mettre en place la rotation périodique des clés DKIM
La rotation des clés DKIM est une pratique recommandée dans le cadre de toute stratégie de gouvernance DKIM Exchange Online. Exchange Online propose deux sélecteurs alternés — selector1._domainkey et selector2._domainkey — précisément pour faciliter ce mécanisme sans interruption de service. Selon Microsoft, deux enregistrements CNAME sont requis pour chaque domaine : selector1 et selector2 (Source : Microsoft — 2026-01-31). En activant la rotation via le portail Microsoft Defender ou via PowerShell (Rotate-DkimSigningConfig), les équipes de la Sécurité & Gouvernance M365 peuvent renouveler les clés sans modifier manuellement les enregistrements DNS à chaque cycle.
Contrôler la conformité des domaines multi-tenant
Les organisations disposant de plusieurs domaines d’alias ou opérant dans un contexte multi-tenant doivent appliquer le management des signatures DKIM à chaque domaine individuellement. Il ne suffit pas de configurer DKIM sur le domaine principal : chaque domaine utilisé pour l’envoi de courriers doit posséder ses propres enregistrements CNAME publiés et sa propre configuration active. Le RSSI doit donc maintenir un inventaire précis des domaines concernés, en vérifiant régulièrement leur statut via les outils d’Infrastructure & Migration Cloud ou des solutions tierces de surveillance DNS. Pour toute question technique sur la configuration DNS associée, la documentation officielle Microsoft sur les paramètres DNS pour Exchange Online constitue une référence utile.
Associer DKIM aux politiques SPF et DMARC
L’alignement SPF DKIM DMARC est indispensable pour atteindre un niveau de protection réellement efficace. DKIM seul ne suffit pas à empêcher l’usurpation de domaine : c’est la combinaison des trois mécanismes qui permet à DMARC d’appliquer une politique de rejet ou de quarantaine sur les messages non conformes. Un tableau de synthèse permet de visualiser les rôles complémentaires de chaque protocole :
| Protocole | Rôle principal | Dépendance |
|---|---|---|
| SPF | Valider l’IP d’envoi autorisée | Enregistrement TXT dans le DNS |
| DKIM | Signer cryptographiquement le message | Enregistrements CNAME + clé privée |
| DMARC | Définir la politique en cas d’échec | Alignement SPF et/ou DKIM requis |
Dans les meilleures pratiques DKIM Microsoft 365, il est conseillé de commencer par une politique DMARC en mode p=none pour observer les flux avant de durcir progressivement vers p=quarantine puis p=reject.
Sensibiliser les équipes et communiquer sur la valeur de DKIM
La dimension humaine reste souvent le maillon faible d’une gouvernance de messagerie. Les équipes IT, les administrateurs de messagerie et le RSSI doivent être formés aux enjeux du management des signatures DKIM, notamment pour comprendre les alertes de non-conformité et réagir rapidement en cas d’expiration ou de mauvaise propagation DNS. Documenter les procédures de rotation, créer des runbooks et intégrer des contrôles DKIM dans les revues de sécurité périodiques consolide durablement la posture de l’organisation. Cette gouvernance s’inscrit naturellement dans la stratégie globale de Sécurité & Gouvernance M365 portée par Eliadis pour ses clients.
Conclusion
La configuration des enregistrements CNAME DKIM pour Exchange Online constitue une étape concrète et accessible pour renforcer la sécurité de votre messagerie Microsoft 365. Une fois en place, DKIM réduit significativement les risques d’usurpation d’identité et améliore la délivrabilité de vos emails auprès des destinataires.
Selon Microsoft, les enregistrements CNAME DKIM contribuent à prévenir le spam email — bien qu’ils restent optionnels, leur mise en œuvre est fortement recommandée dans tout environnement professionnel. (Source : Microsoft — 2026-03-16)
Pour une protection complète, la cohérence entre DKIM, SPF et DMARC est indispensable : ces trois mécanismes fonctionnent ensemble pour authentifier vos envois et bloquer les tentatives de phishing. Pensez également à vérifier régulièrement vos signatures et à mettre à jour vos enregistrements CNAME après tout changement de domaine ou de configuration. En tant que Partenaire Microsoft, Eliadis accompagne ses clients dans la gestion CNAME DKIM Microsoft 365 et l’optimisation globale de leur messagerie sécurisée Microsoft 365.
