[ Snel antwoord ]
DKIM (DomainKeys Identified Mail) voegt een cryptografische handtekening toe aan elke e-mail. De verzendende server ondertekent met een privésleutel en ontvangers verifiëren deze met behulp van een openbare sleutel die is gepubliceerd in DNS op selector._domainkey.yourdomain.com . Het bewijst dat het bericht afkomstig is van uw domein en niet is gewijzigd ( RFC 6376 ).
Belangrijkste feiten
- ›Openbare sleutel gepubliceerd als een TXT (of CNAME ) record op <selector>. _domainkey .<domein>.
- ›Gebruik RSA-sleutels van minimaal 2048 bits; 1024-bits sleutels worden als zwak beschouwd.
- ›Een domein kan meerdere selectors hebben, één per verzendservice.
- ›Het d= domein in de handtekening moet uitgelijnd zijn met From voor DMARC .
- ›Roteer sleutels periodiek door een nieuwe selector te publiceren.
Beoordeeld door het EmailAuth -onderzoeksteam
DKIM (DomainKeys Identified Mail) is een standaard voor e-mailauthenticatie die een cryptografische handtekening toevoegt aan elk bericht dat een domein verzendt. De ontvangende server gebruikt een openbare sleutel die in uw DNS is gepubliceerd om die handtekening te verifiëren. Als het bericht wordt goedgekeurd, weet de ontvanger dat het bericht is geautoriseerd door uw domein en dat belangrijke delen ervan onderweg niet zijn gewijzigd. DKIM werkt samen met SPF en DMARC om te bewijzen dat uw e-mail echt is en om vervalste berichten uit de inbox te houden.
Hoe DKIM werkt
DKIM maakt gebruik van een openbaar en privé sleutelpaar. Uw verzendende server bewaart de privésleutel en ondertekent daarmee elk uitgaand bericht. De overeenkomende openbare sleutel bevindt zich in een DNS TXT record op een locatie die is opgebouwd uit uw selector, zoals selector1._domainkey.example.com . Wanneer een ontvanger uw bericht ontvangt, leest deze de selector en het domein uit de DKIM-Signature header, haalt de openbare sleutel op uit DNS en bevestigt de handtekening. Een geldige handtekening betekent dat de e-mail is ondertekend door een partij die uw privésleutel bezit en dat de ondertekende inhoud onderweg niet is gewijzigd.
- Privésleutel: opgeslagen op uw verzendende platform en nooit gedeeld; het produceert de handtekening.
- Publieke sleutel: gepubliceerd in DNS bij de selector, zodat elke ontvanger kan verifiëren.
- Selector: een label waarmee u meerdere sleutels tegelijk kunt uitvoeren, bijvoorbeeld één per verzendende service.
- Handtekening: de DKIM-Signature header toegevoegd aan de berichttekst en geselecteerde headers.
Wat de handtekening omvat
DKIM ondertekent een hash van de berichttekst plus een gekozen set headers, gewoonlijk Van, Onderwerp, Datum en Aan. Als een ondertekend veld na verzending verandert, komt de hash niet meer overeen en mislukt de verificatie. Dit is de reden waarom DKIM manipulatie detecteert. Het codeert het bericht niet; het bewijst oorsprong en integriteit, niet vertrouwelijkheid.
DKIM uitlijning en DMARC
Een passerende DKIM -handtekening is slechts de helft van het verhaal voor DMARC . DMARC controleert ook de uitlijning, wat betekent dat het domein in de DKIM handtekening (de d=-tag) moet overeenkomen met het domein in het zichtbare Van-adres. Wanneer het ondertekeningsdomein en het Van-domein op één lijn liggen, is DKIM op één lijn en kan DMARC voldoen. SPF biedt een tweede pad naar afstemming, dus de meeste afzenders configureren beide. Door er ten minste één op één lijn te brengen, kunt u DMARC van monitoring naar handhaving verplaatsen.
Hoe een DKIM record eruit ziet
selector1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..." waarbij v de versie is, k het sleuteltype is en p de openbare sleutel is.
Waarom DKIM er nu toe doet
In 2024 begonnen Google en Yahoo van bulkafzenders te eisen dat ze zich authenticeerden met SPF , DKIM en DMARC . E-mail die niet aan deze controles voldoet, kan worden beperkt of afgewezen. DKIM overleeft het doorsturen ook beter dan SPF , omdat een doorgestuurd bericht zijn handtekening behoudt, zelfs als het verzendende IP-adres verandert, zolang de ondertekende inhoud intact blijft. Sterke DKIM is nu een basislijn om de inbox op grote schaal te bereiken.
DKIM gezond houden
Gebruik 2048-bits RSA-sleutels waar uw DNS en platform dit toestaan, aangezien 1024-bits sleutels zwakker zijn en sommige ontvangers ze met argwaan behandelen. Roteer toetsen volgens een schema en schakel selectors uit die u niet langer gebruikt. EmailAuth bewaakt uw actieve selectors, markeert zwakke of verouderde sleutels en laat zien of DKIM is uitgelijnd voor DMARC . Een gratis domeinscan rapporteert in één keer uw actieve selectors, sleutelsterkte en uitlijning, zodat u hiaten kunt verhelpen voordat ontvangers dat doen.
Veelgestelde vragen
Versleutelt DKIM mijn e-mail?
Nee. DKIM voegt een cryptografische handtekening toe die bewijst dat het bericht afkomstig is van uw domein en onderweg niet is gewijzigd. Het beschermt herkomst en integriteit, niet vertrouwelijkheid. De berichttekst zelf is nog steeds leesbaar voor iedereen die het onderschept, tenzij u afzonderlijke transportversleuteling gebruikt.
Wat is een DKIM selector?
Een selector is een label dat verwijst naar een specifieke openbare sleutel in uw DNS . Hiermee kunt u meerdere DKIM sleutels tegelijk publiceren, bijvoorbeeld een andere voor elke verzendende service. De ontvanger leest de selector uit de DKIM-Signature header en gebruikt deze om de juiste publieke sleutel op selector._domainkey.yourdomain.com te vinden.
Heb ik DKIM nodig als ik al SPF heb?
Ja. SPF en DKIM controleren verschillende dingen, en DMARC kan zich op beide afstemmen. DKIM overleeft het doorsturen beter dan SPF , dus als je beide hebt, heb je een sterker pad naar DMARC uitlijning. Google en Yahoo verwachten nu dat bulkafzenders SPF , DKIM en DMARC samen gebruiken.
Hoe vaak moet ik DKIM sleutels rouleren?
Een gangbare praktijk is het omwisselen van sleutels elke zes tot twaalf maanden, en eerder als u vermoedt dat een sleutel zichtbaar is. Rotatie beperkt de schade door een gelekte privésleutel. EmailAuth markeert verouderde sleutels, zodat u weet wanneer een selector te laat moet worden vernieuwd.
Wat is DKIM in e-mail?
Het is een digitale handtekening die aan de berichtkoppen wordt toegevoegd en waarmee ontvangers het verzendende domein kunnen verifiëren en kunnen verifiëren dat de inhoud onderweg niet is gewijzigd.
Hoe werkt DKIM ?
De afzender hasht geselecteerde headers en de hoofdtekst, ondertekent de hash met een privésleutel en voegt een DKIM-Signature header toe. De ontvanger haalt de publieke sleutel op van DNS met behulp van de selector en verifieert de handtekening.
Kunt u meerdere DKIM records hebben?
Ja, één per selector. Elke verzendservice krijgt meestal zijn eigen selector en sleutel.
Hoe stel ik DKIM in?
Schakel DKIM in elke verzendende service in, publiceer de TXT of CNAME record die u krijgt en verifieer vervolgens met een DKIM zoekopdracht.
[ DKIM gids ]
Herkomst onderneming
Waarom top financiële instellingen en overheden hebben hun e-mailbeveiligingsdashboards stopgezet.
Traditionele platforms voor e-mailauthenticatie verkopen u een dashboard en vragen uw technici om het werk te doen. In omgevingen waar veel op het spel staat, betekent handmatig toezicht vertraagde handhaving, configuratieafwijking en niet-gecontroleerde schaduwdomeinen.
EmailAuth is het agentische e-mailherkomstplatform. Onze agenten handhaven p=reject, houd externe afzenders op één lijn en verplaats uw domeinen naar vol RFC 9989 compliance, de nieuwe DMARC standaard, met 'human-in-the-loop'-auditeerbaarheid.
SaaS · Toegewijde huur · Air-gapped on-premise · BYOK-encryptie