Préparer le nouveau sélecteur
Créez un sélecteur et une paire de clés selon la procédure du système de courrier, puis publiez la clé publique avant de signer avec elle. Confirmez l’enregistrement TXT et sa visibilité autoritaire.
Tenez compte de la propagation et des caches selon le TTL et le fournisseur. Ne supprimez pas l’ancien sélecteur tant que des messages signés avec lui peuvent être en transit ou faire l’objet d’une enquête.
Basculer la signature et retirer l’ancienne clé
Configurez l’envoi avec le nouveau sélecteur et vérifiez des messages de test chez des destinataires. Confirmez l’alignement de la signature avec le domaine voulu et la résolution de la clé publique.
Après la période de transition, retirez l’ancienne clé DNS et détruisez sa clé privée selon votre procédure. Documentez le responsable du sélecteur et la prochaine révision.