Maak de juiste DKIM DNS-hostnaam en het TXT-recordformaat voor uw domein en selector. Plak uw publieke sleutel en publiceer.
Veelgebruikte waarden: mail, google, s1, default. Gebruik de selector die uw e-mailprovider opgeeft.
DKIM (DomainKeys Identified Mail) is een e-mailauthenticatiemethode waarmee de afzender elk uitgaand bericht cryptografisch kan ondertekenen. De ontvangende mailserver verifieert deze handtekening met een publieke sleutel die in de DNS van de afzender is gepubliceerd. Een geldige DKIM-handtekening bewijst twee dingen: het bericht komt daadwerkelijk van het opgegeven domein, en het bericht is onderweg niet gewijzigd.
In tegenstelling tot SPF, dat het verzendende IP-adres toetst aan een toegestane lijst, werkt DKIM door een digitale handtekening aan het bericht zelf te koppelen. Daardoor blijft DKIM-verificatie geldig bij het doorsturen van e-mail, waar SPF vaak faalt omdat het IP-adres van de doorsturende server niet in het oorspronkelijke SPF-record staat.
Een DKIM-record is een DNS TXT-record dat wordt gepubliceerd op een specifiek subdomein: selector._domainkey.yourdomain.com. De selector is een label dat u kiest — veelgebruikte waarden zijn mail, google, s1 of default. De recordwaarde begint met v=DKIM1; k=rsa; p= gevolgd door uw base64-gecodeerde publieke sleutel.
De privésleutel blijft geheim op uw mailserver of wordt beheerd door uw e-mailserviceprovider. De publieke sleutel is wat u in DNS publiceert. Ontvangende servers gebruiken de publieke sleutel om handtekeningen te verifiëren die met de privésleutel zijn gemaakt — het klassieke patroon van cryptografie met publieke sleutels.
Uw publieke DKIM-sleutel wordt gegenereerd door uw e-mailprovider wanneer u DKIM-ondertekening inschakelt. Hier vindt u deze bij de meest gebruikte providers:
Gebruik waar mogelijk een sleutellengte van 2048 bits — 1024-bitsleutels worden als zwak beschouwd en kunnen door sommige mailsystemen worden gemarkeerd. Roteer uw DKIM-sleutels periodiek (minstens jaarlijks) om de blootstelling te beperken als een sleutel ooit wordt gecompromitteerd. Houd de oude sleutel na rotatie nog een paar dagen in DNS, zodat berichten onderweg nog geverifieerd kunnen worden.
DKIM alleen beschermt de zichtbare From-header niet. Om uw e-mailauthenticatie af te ronden, voegt u een DMARC-beleid toe dat DKIM-resultaten afstemt op het From-domein. Een schone e-maillijst telt ook — zelfs geauthenticeerde e-mail belandt in spam als deze herhaaldelijk bounced. Gebruik e-mailverificatie om ongeldige adressen te verwijderen, of verifieer grote lijsten met bulkverificatie van e-mail.
Sleutel- en selectorinvoer
Een DKIM DNS-record publiceert een publieke sleutel onder een selector. De bijbehorende privésleutel moet binnen het systeem blijven dat uitgaande berichten ondertekent.
Een selector zoals google, s1 of mail wordt selector._domainkey.example.com. Verschillende providers en rotatieperiodes kunnen verschillende selectors gebruiken zonder elke DKIM-sleutel van het domein te vervangen.
Kies de selector die uw verzendplatform in de s=-tag van de DKIM-Signature-header plaatst. Een DNS-record onder een andere selector wordt voor dat bericht nooit opgevraagd.
De p=-waarde is de base64-gecodeerde publieke sleutel die ontvangers gebruiken. De privésleutel ondertekent berichten en moet geheim blijven bij uw provider, mail transfer agent of beveiligd sleutelsysteem.
Deze generator formatteert de DNS-ownernaam en TXT-waarde rond een publieke sleutel. Hij maakt of installeert de privésleutelconfiguratie van uw mailstroom niet.
Recordopbouw
Het DNS-record is klein, maar elk veld hangt samen met een handtekeningbeslissing op berichtniveau.
De versietag onderscheidt DKIM-sleutelgegevens van andere TXT-inhoud. k=rsa identificeert het sleuteltype wanneer RSA wordt gebruikt, en p= bevat het publieke-sleutelmateriaal zonder PEM-headers of privésleuteltekst.
Een ontvanger combineert het ondertekenende domein in d= met de selector in s= om de DNS-query op te bouwen. De gegenereerde ownernaam moet exact met dat paar overeenkomen, inclusief een eventueel verzendsubdomein.
DNS-providers splitsen een lange DKIM-waarde soms in meerdere tussen aanhalingstekens geplaatste tekenreeksen. DNS voegt die tekenreeksen samen voor de TXT-respons; aanhalingstekens en spaties in een beheerpaneel maken niet automatisch deel uit van de publieke sleutel.
DNS kan een geldig record bevatten terwijl de afzender DKIM-Signature weglaat, met een andere selector ondertekent, een niet-overeenkomend domein gebruikt of canonicalisatie niet correct toepast. Bevestig het berichtpad na publicatie.
Implementatieworkflow
Houd DNS-publicatie en ondertekening in het mailsysteem synchroon via vier expliciete stappen.
Gebruik de domeinauthenticatie van de provider of de ondersteunde sleuteltooling van uw mailserver. Kies een actuele sleutelgrootte die zowel de afzender als de DNS-host ondersteunt, en plak de privésleutel nooit op deze pagina.
Voer het exacte verzenddomein, de selector en de publieke sleutel in. Kopieer owner en waarde afzonderlijk, omdat DNS-interfaces verschillen in of ze automatisch de zonenaam toevoegen.
Wacht op de geldende DNS-TTL en gebruik de DKIM-recordcontrole om te bevestigen dat selector._domainkey de verwachte publieke sleutel teruggeeft.
Controleer de ontvangen DKIM-Signature- en Authentication-Results-headers op het verwachte d=-domein, de s=-selector en dkim=pass. DNS-succes zonder pass op berichtniveau is een onvolledige implementatie.
Beveiligingsgrenzen
Het publieke record is slechts de ontvangergerichte helft van DKIM.
Opslag van de privésleutel, toegangsbeheer, configuratie van de ondertekeningsservice en rotatie bij incidenten horen bij uw e-mailprovider of server. Blootstelling van de privésleutel laat een ander systeem handtekeningen maken die ontvangers mogelijk vertrouwen.
Het mailsysteem bepaalt welke headers en welke weergave van de body worden ondertekend. Tussenliggende systemen die ondertekende inhoud wijzigen, kunnen de handtekening ongeldig maken, ook als de DNS-sleutel klopt.
Publiceer een SPF-record om toegestane envelope-afzenders te beschrijven. DKIM en SPF leveren verschillend bewijs en moeten samen worden ingezet.
Gebruik de DMARC-generator om aan te geven hoe ontvangers mail moeten behandelen wanneer afgestemde SPF en DKIM het zichtbare From-domein niet ondersteunen.
Gezaghebbende referentie
De standaard koppelt publieke DNS-sleutels aan de handtekeningvelden die aan elk bericht worden toegevoegd.
De IETF-standaard RFC 6376 definieert de _domainkey-namespace, selectorlookup, DKIM-Signature-tags, canonicalisatie, ondertekening en verificatiegedrag.
Controleer de publieke sleutel met de DKIM-controle, inspecteer echte berichtheaders en bevestig de afstemming via de DMARC-controle.
Kies de volgende tool op bewijstype: ontvanger, ontdekking, DNS en infrastructuur, of afzenderworkflow.
Gratis tools
Controleer het DKIM-record van elk domein en selector. Zie de volledige publieke sleutel en of DKIM correct is ingesteld. Gratis, geen account.
Bewijs over domein of infrastructuur — geen mailboxbewijs.
Gratis tools
Genereer in seconden een geldig SPF-DNS-record voor je domein. Voeg mailservers en include-directives toe en kies je beleid. Gratis, geen account nodig.
Bewijs over domein of infrastructuur — geen mailboxbewijs.
Gratis tools
Maak een DMARC DNS TXT-record met beleid, uitlijning en rapportage. Gratis generator voor e-mailauthenticatie van je domein.
Bewijs over domein of infrastructuur — geen mailboxbewijs.
Gratis tools
Controleer A-, AAAA-, MX-, TXT-, NS- of CNAME-records voor elk domein. Live DNS-opzoeking met directe resultaten. Gratis, geen registratie nodig.
Bewijs over domein of infrastructuur — geen mailboxbewijs.
E-mailtools
Voer een e-mailbezorgbaarheidstest uit op een echt berichtvoorbeeld. Beoordeel SPF, DKIM, DMARC, DNS, blacklist, spamfilter, header en contentbewijs.
Diagnose van afzender of bericht — geen adresdetectie.
E-mailverificatietools
Controleer of een e-mailadres geldig is met een gratis e-mailverifier die syntax, MX, SMTP-mailbox, wegwerp, rol en catch-all checkt.
Bewijs over de ontvanger — geen afzender- of DNS-configuratie.
Een DKIM-selector is een korte naam (zoals mail of google) die naar een specifieke publieke sleutel in DNS wijst. Zo kunt u meerdere sleutels voor hetzelfde domein publiceren — bijvoorbeeld één voor Google Workspace en een andere voor een marketing-ESP.
Publiceer het als TXT-record op selector._domainkey.yourdomain.com. Vervang selector door de waarde die uw provider heeft gegeven en yourdomain.com door uw verzenddomein.
SPF controleert het verbindende IP-adres. Na doorsturen verandert dat IP-adres en faalt SPF vaak. DKIM ondertekent de berichtinhoud en geselecteerde headers, zodat verificatie na meerdere doorstuurstappen nog werkt.
Geef de voorkeur aan 2048-bitsleutels als uw DNS-provider lange TXT-waarden ondersteunt. Sommige oudere DNS-hosts vereisen het splitsen van lange records; de meeste moderne providers verwerken 2048-bitsleutels zonder probleem.
Nee. Gebruik beide. SPF autoriseert verzendende IP-adressen; DKIM ondertekent berichten. DMARC stemt die resultaten vervolgens af op het From-domein en vertelt ontvangers wat ze bij een fout moeten doen.
Stuur een testbericht naar een mailbox die u beheert, open de ruwe headers en zoek naar dkim=pass in Authentication-Results. U kunt ook onze E-mailheaderanalyzer gebruiken.
Authenticatie beschermt uw domein. Schone lijsten beschermen uw reputatie. BillionVerify verifieert adressen met SMTP-nauwkeurigheid.
600 gratis credits/mnd + 20/dag inlogbonus · 99,9% SMTP-nauwkeurigheid · Directe API-toegang · Geen creditcard nodig
