DKIM: de handtekening onder je e-mail
Kort antwoord: met DKIM zet je mailserver een digitale handtekening onder elke uitgaande e-mail. De publieke sleutel om die handtekening te controleren staat in je DNS, onder een naam als selector1._domainkey.jouwdomein.nl. Bij Microsoft 365 zet je daarvoor twee CNAME-records, bij Google Workspace één TXT-record. Daarna zet je DKIM aan in het beheercentrum van je aanbieder.
Wat DKIM doet
DKIM (DomainKeys Identified Mail) bewijst twee dingen: dat een e-mail echt van jouw domein komt, en dat hij onderweg niet is aangepast. Je mailserver ondertekent elk bericht met een geheime sleutel. De ontvanger haalt de bijbehorende publieke sleutel op uit je DNS en controleert de handtekening. Klopt die niet, dan is het bericht verdacht.
Anders dan SPF blijft DKIM werken als een bericht wordt doorgestuurd. Samen met SPF vormt het de basis voor DMARC.
Wat is een selector?
Een domein kan meerdere DKIM-sleutels hebben, bijvoorbeeld een van je e-mailaanbieder en een van je nieuwsbriefdienst. Elke sleutel heeft een selector, een naam die in de handtekening staat. De ontvanger zoekt de sleutel dan op onder <selector>._domainkey.<jouw domein>. Zo zitten verschillende diensten elkaar niet in de weg.
Microsoft 365
Microsoft 365 gebruikt twee selectors, zodat het de sleutels kan vernieuwen zonder onderbreking. Je zet twee CNAME-records die naar Microsoft wijzen. De exacte waarde verschilt per organisatie; je vindt hem in de Microsoft Defender-portal onder de DKIM-instellingen van je domein. Voor nieuwe domeinen ziet het er zo uit:
selector1._domainkey.bakkerjansen.nl. IN CNAME selector1-bakkerjansen-nl._domainkey.bakkerjansen.n-v1.dkim.mail.microsoft. selector2._domainkey.bakkerjansen.nl. IN CNAME selector2-bakkerjansen-nl._domainkey.bakkerjansen.n-v1.dkim.mail.microsoft.
Oudere domeinen gebruiken nog het formaat selector1-bakkerjansen-nl._domainkey.bakkerjansen.onmicrosoft.com. Neem altijd precies over wat Microsoft je toont. Zet DKIM daarna aan in de portal; pas dan gaat Microsoft je mail ondertekenen.
Google Workspace
In de Google Admin-console genereer je onder Apps → Google Workspace → Gmail → E-mail verifiëren een sleutel (kies 2048 bits als je DNS-aanbieder dat ondersteunt). Je krijgt een TXT-record met de standaardselector google:
google._domainkey.bakkerjansen.nl. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
Een 2048-bits sleutel is langer dan 255 tekens. Een goede DNS-aanbieder splitst hem vanzelf in stukken binnen hetzelfde record; plak hem in één keer. Klik daarna in de Admin-console op Verificatie starten.
Andere diensten
Nieuwsbrief-, factuur- en CRM-diensten die namens je domein mailen, hebben vaak hun eigen DKIM-records (meestal CNAME's). Zet die er ook bij, anders faalt DKIM voor die mail en kan DMARC hem later tegenhouden.
Veelgemaakte fouten
- De records zetten, maar DKIM niet aanzetten bij de aanbieder.
- De domeinnaam dubbel invullen, waardoor
selector1._domainkey.bakkerjansen.nl.bakkerjansen.nlontstaat. - Een lange sleutel afgekapt of met spaties erin plakken.
- Een oude sleutel van een vorige aanbieder laten staan met dezelfde selector.
Zo regel je het bij CloudVikings
De recepten voor Microsoft 365 en Google Workspace in Mijn CloudVikings vragen alleen om de waarde die per klant verschilt en zetten de rest goed. Vraag je het je AI-assistent, dan vraagt hij om je DKIM-waarde in plaats van die te raden. Zie e-mail instellen.
Veelgestelde vragen
Hoe controleer ik of DKIM werkt?
Stuur een mail naar een Gmail-adres en kies Origineel weergeven: bij DKIM moet PASS staan, met jouw domein. Ook de DMARC-rapporten laten per bron zien of DKIM klopt.
Moet ik DKIM-sleutels zelf vernieuwen?
Bij Microsoft 365 regelt Microsoft dat via de twee selectors. Bij Google Workspace kun je zelf een nieuwe sleutel maken; doe dat bijvoorbeeld eens per jaar of als je denkt dat de sleutel is uitgelekt.
Bronnen: Microsoft Learn: DKIM configureren; RFC 6376 (DKIM).