DKIM uitgelegd: sleutels, selectors en rotatie

SPF vertelt welke servers namens jou mogen mailen. DKIM gaat een stap verder: het bewijst dat een e-mail echt van jou komt én dat er onderweg niets aan is veranderd. Mailboxproviders hechten er veel waarde aan, en voor wie veel verstuurt is het verplicht.

Heb je SPF nog niet geregeld? Begin dan met SPF instellen. DKIM bouwt daarop voort.

Wat is DKIM?

DKIM staat voor DomainKeys Identified Mail. Bij het versturen krijgt elke e-mail een onzichtbare handtekening mee. De ontvangende server controleert die handtekening. Klopt hij, dan weet de ontvanger twee dingen: de mail komt van het domein dat hem heeft ondertekend, en de inhoud is onderweg niet aangepast.

Hoe werkt het?

DKIM werkt met twee sleutels die bij elkaar horen:

De geheime sleutel staat bij je e-mailplatform. Daarmee wordt elke uitgaande mail ondertekend.
De openbare sleutel staat in de DNS van je domein. Daarmee kan iedereen de handtekening controleren.

De handtekening zelf staat in een regel bovenaan de mail, de DKIM-Signature. Twee onderdelen daarvan zijn goed om te kennen:

d= is het domein dat ondertekent, bijvoorbeeld d=jouwdomein.nl.
s= is de selector, de naam waaronder de openbare sleutel in de DNS staat.

De ontvanger zoekt de sleutel op onder selector._domainkey.jouwdomein.nl. Dankzij selectors kun je meerdere sleutels naast elkaar hebben, bijvoorbeeld één per dienst waarmee je mailt.

DKIM instellen in vier stappen

1. Zet DKIM aan in je e-mailplatform

Elk platform heeft hiervoor een pagina, meestal onder domeininstellingen of afzenderverificatie. Het platform maakt de sleutels aan en geeft je één of meer DNS-records.

2. Plaats de records in je DNS

Je krijgt een TXT-record met de sleutel zelf, of een CNAME-record dat naar het platform verwijst. Het tweede is prettiger: het platform kan de sleutel dan zelf vernieuwen zonder dat jij iets hoeft te doen.

Neem de naam en de waarde letterlijk over. Een ontbrekend teken maakt de sleutel ongeldig.

3. Activeer de ondertekening

Bij veel platformen moet je na het plaatsen van de records nog op “verifiëren” klikken. Pas daarna ondertekent het platform met jouw domein.

4. Controleer het resultaat

Stuur jezelf een testmail en bekijk de bron. Bij dkim= hoort pass te staan, en achter header.d= je eigen domein. Je selector vind je achter s=. Met de domein-checker kun je daarna controleren of de sleutel goed in de DNS staat.

Vier veelgemaakte fouten

1. Het platform ondertekent met zijn eigen domein

Dit is de belangrijkste. Zolang je DKIM niet zelf instelt, ondertekenen veel platformen met hun eigen domein. De handtekening is dan geldig, maar zegt niets over jou. Voor DMARC telt alleen een handtekening van je eigen domein.

2. Een te korte sleutel

Sleutels van 1024 bits worden nog geaccepteerd, maar 2048 bits is de norm. Kies die lengte als je platform de keuze biedt.

3. Een afzender vergeten

Net als bij SPF geldt: elke dienst die namens jou mailt, heeft een eigen DKIM-instelling nodig. Denk aan je webshop, je boekhoudpakket en je helpdesk.

4. Sleutels nooit vernieuwen

Een sleutel die jarenlang dezelfde blijft, is een risico als hij ooit uitlekt. Vernieuw sleutels daarom periodiek. Met CNAME-records regelt je platform dat meestal zelf.

DKIM en doorsturen

SPF breekt als een e-mail wordt doorgestuurd, omdat het bericht dan van een andere server komt. DKIM blijft in dat geval meestal geldig, want de handtekening reist mee met de mail. Dat is een belangrijke reden om beide in te stellen.

Samengevat

DKIM ondertekent je e-mails, zodat ontvangers kunnen controleren dat ze van jou komen en ongewijzigd zijn.
De openbare sleutel staat in je DNS onder een selector.
Zorg dat er wordt ondertekend met je eigen domein, niet met dat van je platform.
Gebruik sleutels van 2048 bits en vernieuw ze af en toe.
De volgende stap is DMARC, dat SPF en DKIM aan elkaar knoopt.