DKIM-record instellen voor jouw domein

Een DKIM-record instellen voor jouw domein begin je bij de partij die je e-mail verstuurt. Die partij, bijvoorbeeld Mailchimp, Microsoft 365 of Google Workspace, maakt de sleutel aan en ondertekent je uitgaande berichten. In DNS komt alleen de publieke sleutel, zodat ontvangende mailservers de handtekening kunnen controleren.

Wat doet DKIM

DKIM staat voor DomainKeys Identified Mail. Het is een cryptografische handtekening die de verzendende mailserver aan elk uitgaand bericht toevoegt, ondertekend met een private sleutel. Ontvangende servers halen de bijbehorende publieke sleutel op uit jouw DNS en controleren of de handtekening klopt. Klopt die, dan weet de ontvanger dat het bericht onderweg niet is gewijzigd en dat het echt namens jouw domein is verstuurd.

Vergelijk het met een lakzegel op een envelop: de afzender drukt zijn stempel in de lak, en de ontvanger controleert of die stempel klopt met wat hij van die afzender verwacht. DKIM doet hetzelfde voor e-mail, samen met SPF en DMARC. Hoe die drie samenwerken, lees je in SPF, DKIM en DMARC uitgelegd.

Stap 1: genereer een DKIM-sleutel bij je provider

De eerste stap loopt altijd via de partij die jouw mail verstuurt. Die genereert het sleutelpaar en toont vervolgens het DNS-record dat jij moet publiceren. Hieronder lees je hoe dat gaat bij de meest gebruikte providers.

Mailchimp

1. Log in op Mailchimp en ga naar Account & billing, daarna Domains.
2. Staat jouw domein jouw-website.nl nog niet in de lijst, voeg het dan toe en verifieer het via Add & Verify Domain. Klik daarna bij jouw domein op Start authentication en volg de stappen.
3. Kopieer de twee CNAME-records die Mailchimp toont. Mailchimp werkt met CNAME-records, zodat Mailchimp de sleutel kan vervangen zonder dat DNS opnieuw aangepast hoeft te worden.

Microsoft 365

1. Open Microsoft 365 Defender via security.microsoft.com.
2. Ga naar Email & collaboration, daarna Policies & rules, Threat policies, Email authentication settings, DKIM.
3. Zet bij jouw domein de schakelaar op Enabled. Er verschijnt een melding: klik op OK en klik daarna op de regel van jouw domein. Onder Publish CNAMEs staan de twee CNAME-records voor selector1 en selector2. Staan die records in DNS, zet dan in hetzelfde venster Sign messages for this domain with DKIM signatures aan.

Google Workspace

1. Open de Google Admin Console via admin.google.com.
2. Ga naar Apps, Google Workspace, Gmail, Authenticate email.
3. Selecteer jouw domein en klik op Generate New Record. Kies een sleutellengte (2048-bit aanbevolen) en klik op Generate. Google toont vervolgens een TXT-record met selector google. Staat dat record in DNS, kom dan hier terug en klik op Start authentication.

SendGrid

1. Log in op SendGrid en ga naar Settings, Sender Authentication.
2. Klik bij Domain Authentication op Get Started en volg de stappen.
3. SendGrid genereert drie CNAME-records: een voor de hoofd-authenticatie en twee voor DKIM-rotatie.

Stap 2: DNS-record toevoegen

Een DKIM-record staat onder een selector-subdomein, in de vorm selector._domainkey.jouw-website.nl. De selector verschilt per provider, bijvoorbeeld google._domainkey voor Google Workspace of selector1._domainkey voor Microsoft 365. De waarde is een lange string die begint met v=DKIM1; k=rsa; p= gevolgd door de publieke sleutel, of bij CNAME-publicatie een verwijzing naar een hostname van de provider.

Een voorbeeld van een TXT-record bij Google Workspace:

google._domainkey.jouw-website.nl  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

Staan je domein en DNS bij Chessweb, stuur het exacte record (host, type, waarde) dan naar support@chessweb.eu. Wij plaatsen het record voor je en overleggen als dat nodig is. Resellers met eigen DNS-beheer kunnen het record zelf toevoegen.

Stap 3: valideren

Het duurt even voordat een DNS-wijziging overal zichtbaar is: afhankelijk van de TTL tussen één en 24 uur. Wacht dus minimaal een uur voordat je gaat valideren. Twee betrouwbare check-tools:

• mxtoolbox.com/dkim: vul de selector en het domein in, MXToolbox haalt het record op en controleert de syntax.
• dkimvalidator.com: stuur een testmail naar het adres dat de tool toont, en je krijgt een rapport met de uitkomst van zowel de DKIM- als de SPF-check.

Krijg je een fout zoals no key for signature of bad signature, dan staat het record nog niet juist in DNS of is de waarde tijdens kopiëren beschadigd. Controleer de selector, controleer de exacte waarde, en wacht eventueel nog een uur als je het record net hebt toegevoegd.

Stap 4: monitoring met DMARC

DKIM op zichzelf vertelt ontvangers niets over wat ze moeten doen als de controle mislukt. Daarvoor is DMARC bedoeld: een DNS-record dat aangeeft of berichten die de controle niet doorstaan, geweigerd, in quarantaine geplaatst of alleen gemeld moeten worden. Begin met p=none: dan krijg je eerst rapporten, zonder dat er mail wordt geweigerd:

_dmarc.jouw-website.nl  TXT  "v=DMARC1; p=none; rua=mailto:postmaster@jouw-website.nl"

De rua-tag zorgt dat je dagelijkse rapportages ontvangt van grote mailproviders over wie er namens jouw domein verstuurt en of die berichten DKIM en SPF doorstaan. Pas als je een paar weken meeleest en weet dat alle legitieme verzenders correct ondertekenen, kun je de policy verzwaren naar quarantine of reject.

Verstuur je uitgaande mail via e-mail hosting van Chessweb, dan is SPF standaard voor je ingericht. Vraag een DMARC-record net als bij DKIM aan via support@chessweb.eu als je geen eigen DNS-beheer hebt. Blijven er klachten dat je mail in de spam belandt, lees dan ook mijn e-mail komt in de spambox.