[ Snel antwoord ]
Om DKIM in te stellen, genereert u een sleutel op elk verzendend platform (of met een DKIM generator), publiceert u de openbare sleutel als een TXT of CNAME record op selector._domainkey.yourdomain.com , schakelt u inloggen op het platform in en bevestigt u dat de handtekening wordt doorgegeven met een DKIM lookup of header-analyse.
Belangrijkste feiten
- ›Standaardkiezer Google Workspace : google.
- ›Microsoft 365 maakt gebruik van selector1 en selector2 CNAME records.
- ›Gebruik 2048-bits RSA-sleutels waarbij uw DNS host lange TXT waarden toestaat.
Beoordeeld door het EmailAuth -onderzoeksteam
Het instellen DKIM duurt vijf stappen: genereer een sleutelpaar, publiceer de openbare sleutel in DNS bij een selector, schakel ondertekening op uw verzendende platform in, verifieer dat handtekeningen worden doorgegeven en uitgelijnd met uw Van-domein, en roteer vervolgens de sleutels volgens een schema. De meeste e-mailplatforms genereren de sleutels voor u en geven u een record dat u in DNS kunt plakken, dus het werk bestaat voornamelijk uit zorgvuldig kopiëren en verifiëren. Zodra DKIM live is, wordt het naast SPF meegenomen in DMARC uitlijning.
Voordat je begint
Maak een lijst van alle diensten die e-mail verzenden via uw domein: uw mailboxprovider, marketingtool, helpdesk, factureringssysteem en alle andere. Elk heeft zijn eigen DKIM sleutel en selector nodig. Het missen van een dienst betekent dat de e-mail DKIM kan mislukken en, zodra u DMARC afdwingt, in spam terechtkomt of stuitert. Met een domeinscan kunt u afzenders vinden die u bent vergeten.
- 1
1. Genereer een sleutelpaar
Maak een publieke en private sleutel, idealiter 2048-bit RSA. De meeste platforms doen dit voor je in hun DKIM instellingen en houden de privésleutel aan hun kant. Als u zelf host, genereer dan het paar met uw mailservertool en bewaar de privésleutel veilig.
- 2
2. Publiceer de publieke sleutel in DNS
Voeg een TXT record toe op selector._domainkey.yourdomain.com , met behulp van de selector die uw platform u biedt. De waarde ziet eruit als v=DKIM1; k=rsa; p=YOUR_PUBLIC_KEY. Als de sleutel lang is, splitst u deze op in tekenreeksen tussen aanhalingstekens, zodat DNS de volledige waarde accepteert.
- 3
3. Schakel ondertekening in
Schakel DKIM ondertekening in uw verzendplatform in, zodat elk uitgaand bericht een DKIM-Signature header krijgt. Bevestig de platformtekens met de selector en het domein dat u heeft gepubliceerd.
- 4
4. Controleer handtekeningen en uitlijning
Stuur een testbericht naar een mailbox die u beheert en controleer de headers op een DKIM pas. Controleer of het d=-domein overeenkomt met uw Van-domein, zodat DKIM is uitgelijnd voor DMARC . Een checker- of domeinscan bevestigt in één blik de sterkte en uitlijning.
- 5
5. Roteer sleutels volgens een schema
Plan om de sleutels elke zes tot twaalf maanden te vervangen. Publiceer een nieuwe selector, schakel de ondertekening ervan over, controleer of deze slaagt en verwijder vervolgens de oude record zodra er geen e-mail meer van gebruikt.
Voorbeeld opnemen
s1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ..." verdeeld over tekenreeksen tussen aanhalingstekens als uw DNS de recordlengte beperkt.
Veel voorkomende installatiefouten
- De sleutel plakken met regeleinden of spaties die de waarde beschadigen.
- Publiceren onder de verkeerde selectornaam, zodat het record lijkt te ontbreken.
- Een 1024-bits sleutel gebruiken wanneer 2048-bits beschikbaar is.
- Een verzendservice vergeten, zodat de e-mail niet ondertekend blijft.
- Ondertekening inschakelen, maar nooit controleren of het domein overeenkomt met From voor DMARC .
Verifiëren en vervolgens afdwingen
Nadat DKIM is geslaagd en uitgelijnd, verplaatst u DMARC richting handhaving. Begin bij p=none om rapporten te bekijken, bevestig dat al uw afzenders zich authenticeren en ga vervolgens naar p=quarantine en p=reject. Google en Yahoo vereisen sinds 2024 dat bulkafzenders zich authenticeren, dus een geverifieerde DKIM installatie maakt deel uit van het bereiken van de inbox. EmailAuth controleert uw selectors na de installatie, signaleert zwakke of verouderde sleutels en bevestigt dat DKIM op één lijn blijft terwijl u nieuwe afzenders toevoegt.
Veelgestelde vragen
Hoe lang duurt het voordat DKIM werkt nadat ik het record heb gepubliceerd?
Het DNS record moet zich verspreiden, wat meestal enkele minuten duurt, maar afhankelijk van uw provider en TTL tot een dag kan duren. Zodra de openbare sleutel zichtbaar is in DNS en ondertekening is ingeschakeld, kunnen ontvangers uw e-mail verifiëren. Verzend een testbericht en controleer de headers om te bevestigen dat het bericht is geslaagd.
Kan ik één DKIM sleutel gebruiken voor al mijn verzendtools?
Het is schoner om elke dienst een eigen selector en sleutel te geven, omdat de privésleutel op dat platform blijft. Het delen van één sleutel tussen tools is niet praktisch, omdat elk platform zijn eigen privésleutel heeft. Het gebruik van een selector per service maakt rotatie en probleemoplossing ook eenvoudiger.
Welke sleutellengte moet ik gebruiken voor DKIM ?
Gebruik 2048-bit RSA als uw DNS provider en platform dit ondersteunen. Het is sterker dan de oudere 1024-bit-standaard, die sommige ontvangers nu ontmoedigen. Als een lange sleutel niet in één TXT tekenreeks past, splitst u deze op in meerdere tekenreeksen tussen aanhalingstekens.
Heb ik nog steeds SPF en DMARC nodig als DKIM is ingesteld?
Ja. DKIM bewijst dat het bericht ondertekend en ongewijzigd is, maar DMARC koppelt authenticatie aan uw zichtbare Van-domein en vertelt ontvangers wat ze moeten doen bij fouten. SPF geeft een tweede uitlijningspad. Alle drie samen zijn wat Google en Yahoo verwachten van bulkafzenders.
Hoe configureer ik DKIM ?
Schakel DKIM in uw e-mailplatform in, kopieer het weergegeven DNS record, publiceer het, wacht tot DNS zich verspreidt en klik op verifiëren of begin met ondertekenen.
Hoe lang duurt het voordat DKIM werkt?
Meestal minuten tot enkele uren, afhankelijk van DNS propagatie en de TTL van uw provider.
[ DKIM gids ]
Herkomst onderneming
Waarom top financiële instellingen en overheden hebben hun e-mailbeveiligingsdashboards stopgezet.
Traditionele platforms voor e-mailauthenticatie verkopen u een dashboard en vragen uw technici om het werk te doen. In omgevingen waar veel op het spel staat, betekent handmatig toezicht vertraagde handhaving, configuratieafwijking en niet-gecontroleerde schaduwdomeinen.
EmailAuth is het agentische e-mailherkomstplatform. Onze agenten handhaven p=reject, houd externe afzenders op één lijn en verplaats uw domeinen naar vol RFC 9989 compliance, de nieuwe DMARC standaard, met 'human-in-the-loop'-auditeerbaarheid.
SaaS · Toegewijde huur · Air-gapped on-premise · BYOK-encryptie