Wat is DKIM
Wat is DKIM?
DKIM, afkorting van DomainKeys Identified Mail, is een techniek waarmee je mail een digitale handtekening meekrijgt. Die handtekening laat zien dat het bericht namens jouw domein is verstuurd en dat de inhoud onderweg niet is veranderd. DKIM is één van de drie authenticatietechnieken, naast SPF en DMARC.
Een handtekening werkt met twee sleutels. De verzendende server ondertekent het bericht met een geheime sleutel die alleen die server bezit. De bijbehorende publieke sleutel is openbaar. De ontvanger zoekt die op in de DNS van het domein en controleert of de handtekening klopt.
Hoe staat de sleutel in de DNS?
De publieke sleutel staat als TXT record in de DNS, onder een naam die bestaat uit een selector, gevolgd door ._domainkey en je domeinnaam. Een selector is een label dat je kiest of dat je aanbieder aanlevert, zoals mijnselector. Zo kun je meerdere sleutels naast elkaar hebben, bijvoorbeeld voor verschillende diensten of om een sleutel later te vervangen.
Een sleutel van 2048 bit is gangbaar. Kortere sleutels zijn minder sterk. De sleutel zelf is een lange tekst die je meestal niet hoeft te onthouden; de aanbieder van je mailsysteem levert de waarde aan of genereert hem voor je. Voor de koppeling met de andere technieken, zie wat een SPF record doet.
Wat betekent een geldige handtekening?
Een geldige DKIM-handtekening betekent dat het domein in de handtekening het bericht heeft ondertekend en dat de ondertekende delen niet zijn veranderd. Dat bewijst herkomst en integriteit. Het is geen garantie dat de afzender betrouwbaar is: ook iemand met kwade bedoelingen kan een domein met DKIM instellen en zo geldige handtekeningen maken.
Wijzigt er iets in het ondertekende deel, zoals een voettekst die een doorstuurdienst toevoegt, dan klopt de handtekening niet meer. DKIM en SPF vullen elkaar aan: SPF kijkt naar de verzendende server, DKIM naar de inhoud en het ondertekende domein. Neem daarom ook DMARC mee, zodat je beleid kunt bepalen voor mail die niet klopt.
Veelgestelde vragen
Moet ik zelf een DKIM-sleutel maken?
Dat hangt af van je aanbieder. Veel mailsystemen en kantoorsuites maken de sleutel voor je aan en vragen je alleen het aangeleverde DNS record toe te voegen. Beheer je zelf een mailserver, dan kun je een sleutelpaar genereren. Bewaar de geheime sleutel goed en deel die nooit.
Blijft DKIM geldig als mail wordt doorgestuurd?
Vaak wel, want de handtekening blijft meestal intact bij doorsturen. Past de doorstuurdienst de inhoud aan, bijvoorbeeld door een voettekst toe te voegen of links te herschrijven, dan klopt de handtekening niet meer. Daarom kan een ontvanger bij doorsturen soms geen geldige handtekening zien.