Dernière mise à jour : juillet 2026

En bref : après ce guide, Strato signe tes e-mails sortants avec DKIM — automatiquement avec une configuration standard, via deux entrées CNAME avec tes propres serveurs de noms.

Prérequis

  • Un pack Strato avec des boîtes mail
  • L’accès à l’espace client Strato (numéro de client + mot de passe)

Qu’est-ce que DKIM ?

DKIM (DomainKeys Identified Mail) ajoute une signature numérique à chaque e-mail sortant. Le serveur de messagerie destinataire récupère la clé publique dans le DNS du domaine expéditeur et l’utilise pour vérifier la signature — cela lui permet de vérifier que l’e-mail provient bien de ton domaine et n’a pas été modifié en transit.

Pour situer les choses : là où SPF autorise le serveur, DKIM sécurise le message. Ce n’est qu’associé à DMARC qu’il constitue une base solide.

Le point de départ chez Strato

La bonne nouvelle : si tu envoies via les serveurs de messagerie Strato (smtp.strato.de), Strato signe tes e-mails automatiquement avec DKIM depuis des années. Pour le cas normal, tu n’as absolument rien à faire.

Tu dois mettre les mains dedans dans deux situations :

  1. Tu utilises un service d’envoi externe (ESP) — un outil de newsletter, par exemple. L’ESP exige alors souvent sa propre entrée DKIM et te donne pour cela un sélecteur et une clé. Tu saisis cela chez Strato sous forme d’enregistrement TXT.
  2. Tu exploites tes propres serveurs de noms mais veux continuer à envoyer via Strato. Tu dois alors répliquer toi-même les sélecteurs DKIM sous forme de CNAME (étape 4).

Une gourmandise technique en passant : Strato publie ses clés en deux variantes à la fois — une clé RSA classique (strato-dkim-0002) et une clé Ed25519 moderne (strato-dkim-0003). Les deux sont actives et récupérables dans le DNS.

Guide étape par étape

1. Vérifier si DKIM est actif

Le plus simple est d’entrer ton domaine dans le scanner MXAudit gratuit — il reconnaît les sélecteurs Strato et montre si la signature a lieu. Dans le terminal, si tu connais le sélecteur :

dig CNAME strato-dkim-0002._domainkey.example.com +short

2. Configuration standard : ne rien faire

Si ton envoi passe via smtp.strato.de et que tes serveurs de noms sont chez Strato, DKIM est actif. Saute à Vérifier le résultat.

3. Ouvrir les paramètres DKIM (pour les entrées ESP)

Si un service externe exige sa propre entrée DKIM : connecte-toi à l’espace client, ouvre la gestion des domaines, clique sur l’icône d’engrenage du domaine, puis DNS → Gérer les enregistrements TXT et CNAME. Ici, tu saisis le sélecteur et la clé fournis par l’ESP.

Note les règles de caractères de Strato pour le champ de saisie : sont autorisés les minuscules a-z (pas de tréma), les chiffres 0-9 et les caractères spéciaux -+*._.

4. Tes propres serveurs de noms : les sélecteurs CNAME

Si tu exploites tes propres serveurs de noms mais veux conserver la signature DKIM de Strato, tu crées deux enregistrements CNAME pointant vers les sélecteurs Strato :

strato-dkim-0002._domainkey.example.com.  CNAME  strato-dkim-0002._domainkey.rzone.de.
strato-dkim-0003._domainkey.example.com.  CNAME  strato-dkim-0003._domainkey.rzone.de.

L’avantage de l’approche CNAME : Strato peut effectuer un rollover de clés vers de nouveaux sélecteurs à certains intervalles — tant que les CNAME sont en place, tu reçois les nouvelles clés automatiquement, sans les répliquer toi-même.

5. Attendre que la modification soit en ligne

Les modifications DNS prennent du temps : selon le TTL et la mise en cache, il peut s’écouler quelques heures avant que chaque serveur voie la nouvelle entrée.

Vérifier le résultat

Vérifie ta configuration avec le scanner MXAudit gratuit — il te montre DKIM, SPF et DMARC d’un coup d’œil.

Erreurs fréquentes

Ta propre entrée TXT malgré un envoi standard. Si tu envoies via smtp.strato.de, tu n’as pas besoin de ton propre enregistrement DKIM — Strato signe déjà. Une entrée supplémentaire, mal maintenue, risque plutôt de nuire.

Clé ESP dans le mauvais domaine. L’entrée DKIM doit se trouver dans le domaine utilisé comme expéditeur (From:) — pas dans le domaine de l’ESP. L’ESP t’indique le sélecteur exact.

Rollover de clés ignoré. Si tu copies les sélecteurs une fois sous forme de TXT figé au lieu d’un CNAME, tu restes bloqué sur une ancienne clé quand Strato fait la rotation. Avec tes propres serveurs de noms, utilise la variante CNAME.

Trémas ou majuscules dans le sélecteur. Le champ de saisie de Strato n’accepte que les minuscules a-z, 0-9 et -+*._ — d’autres caractères provoquent des erreurs.

Pour aller plus loin