Help & probleemoplossing
DKIM
Wat dit is
DKIM ondertekent uitgaande mail met een private sleutel; ontvangers halen de publieke sleutel op bij selector._domainkey.jouwdomein.com om te verifiëren dat het bericht geautoriseerd en ongewijzigd was. Elke provider gebruikt zijn eigen selectornaam.
Hoe je je resultaat leest
Een gezond record bevat p= gevolgd door een lange base64-sleutel. Een lege p= betekent dat de sleutel is ingetrokken. Geen record vinden betekent vaak simpelweg dat je de verkeerde selector hebt opgevraagd — raadpleeg de documentatie van je provider voor de exacte selectornaam.
Veelvoorkomende problemen en hoe je ze oplost
DKIM-record ontbreekt voor de selector waarmee de provider ondertekent
Hoe het zich uit: Ontvangers tonen dkim=fail of dkim=none; DMARC-rapporten vermelden falende bronnen die eigenlijk je eigen provider zijn.
Hoe je het oplost: Kopieer het exacte record (selector en waarde) uit de beheerconsole van je e-mailprovider naar DNS. Voor Microsoft 365 en enkele andere moet je na het publiceren van de CNAMEs ook nog op "DKIM inschakelen" klikken in de console.
Record afgekapt of geherformatteerd door de DNS-provider
Hoe het zich uit: DKIM-verificatie faalt ook al "bestaat" het record; de sleutel in DNS wijkt subtiel af van de uitgegeven sleutel.
Hoe je het oplost: Plak de waarde opnieuw; zorg voor sleutels van meer dan 255 tekens dat de provider ze correct opsplitst in meerdere strings tussen aanhalingstekens. Verifieer met een opzoeking en vergelijk de volledige p=-waarde teken voor teken.
Sleutel nooit geroteerd
Hoe het zich uit: Dezelfde DKIM-sleutel ondertekent al jaren mail; een compromittering van die sleutel zou aanvallers onbeperkt in staat stellen als jou te ondertekenen.
Hoe je het oplost: Roteer sleutels periodiek (providers met gepaarde selectors zoals selector1/selector2 automatiseren dit). Publiceer de nieuwe sleutel, schakel het ondertekenen over, en trek daarna de oude in met een lege p= na een overgangsperiode.