Gratis DKIM-check

DKIM (DomainKeys Identified Mail) voegt een digitale handtekening toe aan uitgaande e-mail, met een privésleutel die alleen de verzendende partij heeft. De ontvangende mailserver haalt de bijbehorende publieke sleutel op uit je DNS en controleert of de handtekening klopt en of het bericht onderweg is gewijzigd.

Anders dan SPF en DMARC staat een DKIM-record niet op een vast, voorspelbaar adres. Het staat op <selector>._domainkey.jouwdomein.nl, waarbij de selector een naam is die de verzendende partij zelf kiest, bijvoorbeeld google, selector1 of een willekeurige eigen naam. Daardoor kan een domein meerdere DKIM-sleutels naast elkaar hebben, één per verzendende dienst (je eigen mailserver, nieuwsbriefsysteem, CRM), elk met een eigen selector.

Dat maakt DKIM ook het lastigste record om te controleren zonder de exacte selector te kennen. Die staat niet ergens centraal opgeslagen, alleen in de configuratie-instructies van je mailprovider (zoek naar "DKIM" in hun documentatie of instellingenpaneel). Onze check probeert daarom eerst een lijst veelgebruikte selectors; vind je hem niet, vul dan de exacte selector hierboven in.

Een DKIM-record zelf ziet er ongeveer zo uit: v=DKIM1; k=rsa; p=MIGfMA0GCSq.... Het belangrijkste onderdeel is p=, de publieke sleutel zelf: een lange, willekeurig ogende tekenreeks. Staat daar niets (een lege p=), dan is de sleutel ingetrokken en wordt elke handtekening met deze selector als ongeldig behandeld.

DKIM werkt pas écht mee aan je e-mailbeveiliging in combinatie met DMARC: DMARC vereist dat de DKIM-handtekening "aligned" is met het zichtbare afzenderdomein, niet alleen technisch geldig.