DKIM
DomainKeys Identified Mail — une méthode où les courriels sortants sont signés cryptographiquement avec la clé privée du domaine, afin que le destinataire puisse vérifier que le message vient bien du domaine et n'a pas été modifié en route. Deuxième pilier (avec SPF) de l'authentification du courrier.
Mécanisme : le serveur d'envoi signe le message (certains en-têtes et le corps) avec une clé privée et place la signature dans un en-tête DKIM-Signature. La clé publique est publiée dans le DNS du domaine, sous un « sélecteur ». Le destinataire récupère la clé publique et vérifie la signature : si elle correspond, le message provient bien du domaine et n'a pas changé depuis la signature.
Avantage sur SPF : DKIM survit au transfert (la signature voyage avec le message, quel que soit le serveur relais) et vérifie l'intégrité du contenu. Limite : comme SPF, DKIM authentifie l'identité d'un domaine sans la relier en soi à l'adresse From visible — c'est le rôle de DMARC, qui exige que SPF ou DKIM soit « aligné » avec ce que voit l'utilisateur. SPF + DKIM + DMARC forment ensemble l'authentification moderne du courrier. À rapprocher de l'enregistrement SPF et de la fraude au président (BEC).