Wat is DKIM? DomainKeys Identified Mail uitgelegd
DKIM (DomainKeys Identified Mail) voegt een cryptografische handtekening toe aan uitgaande e-mail, waarmee de ontvangende server kan verifiëren dat het bericht echt van jouw domein komt en onderweg niet is gewijzigd. Samen met SPF en DMARC vormt het het standaardtrio van e-mailauthenticatie.
Hoe DKIM werkt
Je mailserver ondertekent elk uitgaand bericht met een privésleutel. De handtekening wordt toegevoegd als DKIM-Signature-header. De ontvangende server haalt de publieke sleutel van je domein op uit het DNS (gepubliceerd als TXT-record) en controleert of de handtekening klopt.
- Je mailserver genereert een sleutelpaar van publieke en privésleutel
- De publieke sleutel wordt als TXT-record gepubliceerd op een selector, bijv. selector1._domainkey.jouwdomein.nl
- Elke uitgaande e-mail wordt met de privésleutel ondertekend, waarbij een DKIM-Signature-header wordt toegevoegd
- De ontvangende server haalt je publieke sleutel uit het DNS via de selector die in de header staat
- Hij berekent de handtekening opnieuw en vergelijkt — komt die overeen, dan is de e-mail authentiek en ongewijzigd
DKIM-DNS-record
Het record staat op een selectorspecifieke hostnaam, niet op de domeinroot:
selector1._domainkey.yourdomain.com. TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGS..."
Tags van een DKIM-record
| Tag | Meaning |
|---|---|
v | Versie, altijd DKIM1 |
k | Sleuteltype, bijna altijd rsa |
p | De publieke sleutel (base64-gecodeerd) |
Wat is een "selector"?
Met de selector kan een domein meerdere DKIM-sleutels tegelijk publiceren — handig bij het roteren van sleutels of bij meerdere mailproviders. Elke provider vertelt je welke selector je moet gebruiken (veelvoorkomende voorbeelden: google, selector1, k1, mandrill).
DKIM instellen
- Schakel DKIM-ondertekening in bij je e-mailprovider (Google Workspace, Microsoft 365, SendGrid enz.) — zij genereren het sleutelpaar voor je
- Kopieer het TXT-record en de selectorhostnaam die je krijgt
- Voeg het TXT-record toe aan je DNS
- Wacht op propagatie en verifieer daarna bij de provider of met een DKIM-lookup
Waarom je SPF, DKIM en DMARC samen nodig hebt
Elk dekt een ander gat:
- SPF bepaalt welke servers mogen versturen — maar breekt als e-mail wordt doorgestuurd
- DKIM bewijst dat de inhoud van het bericht niet is gemanipuleerd — overleeft doorsturen, maar zegt zelf niets over wie mag versturen
- DMARC verbindt de twee, vertelt ontvangers wat te doen als beide falen, en geeft je inzicht via rapporten
Veelvoorkomende problemen
- Handtekening breekt na doorsturen door mailinglijsten — sommige lijstsoftware herschrijft de inhoud of het onderwerp, waardoor de handtekening ongeldig wordt. Dat is te verwachten en precies de reden dat DMARC-uitlijning toestaat dat SPF ÓF DKIM slaagt, niet beide.
- Sleutel te lang voor één TXT-tekenreeks — sleutels van 2048 bits moeten vaak over meerdere tekenreeksen binnen hetzelfde TXT-record worden verdeeld; de meeste DNS-providers doen dat automatisch.
- Verkeerde selector — komt de selector in je DNS niet overeen met die waarmee je mailprovider ondertekent, dan mislukt de verificatie stil.
Controleer je DKIM-configuratie
Gebruik de e-mailbeveiligingscontrole om SPF, DKIM en DMARC samen te verifiëren:
Zie de theorie in de praktijk — voer E-mailbeveiligingscontrole uit voor je eigen domein.