Wanneer je organisatie e-mail verstuurt, kan de ontvangende mailserver controleren of het bericht door een domein is ondertekend en of de ondertekende inhoud onderweg gelijk is gebleven. DKIM (DomainKeys Identified Mail) maakt deze controle mogelijk met een cryptografische handtekening.

Zo werkt een DKIM-handtekening

Een verzendende mailserver ondertekent geselecteerde berichtonderdelen met een privésleutel. De bijbehorende publieke sleutel staat in DNS onder een naam als selector1._domainkey.voorbeeld.nl. De ontvangende server haalt die publieke sleutel op en controleert daarmee de handtekening.

Het gedeelte vóór ._domainkey heet de selector. Die selector staat ook in de DKIM-Signature-header van een ondertekende e-mail. Een domein kan meerdere selectors hebben, bijvoorbeeld voor Microsoft 365 en een mailingplatform.

Belangrijk: DKIM controleert de handtekening van het ondertekenende domein (d=). Het valideert daarmee niet automatisch de zichtbare afzendernaam die de gebruiker leest.

Waarom speelt DMARC-alignment een rol?

Stel dat een marketingplatform geldig ondertekent met d=mailprovider.example, terwijl je bericht zichtbaar nieuws@bedrijf.nl als afzender gebruikt. DKIM kan dan pass melden, maar DMARC kan mislukken wanneer de DKIM-domeinnaam niet voldoende aansluit bij bedrijf.nl en ook SPF geen aligned pass levert.

Daarom bekijken we DKIM, SPF en DMARC in samenhang, vooral bij organisaties met meerdere verzenddiensten.

Hoe test je DKIM betrouwbaar?

  1. Verstuur een testmail via een concrete verzenddienst, zoals Microsoft 365 of je nieuwsbriefplatform.
  2. Open de originele headers en zoek DKIM-Signature en Authentication-Results.
  3. Noteer de d=-domeinnaam en de s=-selector.
  4. Controleer het gepubliceerde DNS-record voor de bijbehorende selector.
  5. Controleer of DKIM pass meldt én of DMARC-alignment voor je zichtbare afzenderdomein slaagt.

Een scanner kan niet betrouwbaar een willekeurig onbekende selector controleren. Kynexis Domeinmonitoring toont daarom 'Niet getest' wanneer geen selector of testbericht beschikbaar is. Bij Premium leveren DMARC-aggregatierapporten aanvullende uitkomsten van rapporterende ontvangende mailproviders.

Wat gaat regelmatig mis?

Na het aansluiten van een CRM of facturatiesysteem blijft de domeinconfiguratie soms onvolledig. Ook bij een DNS-migratie kunnen DKIM-CNAME-verwijzingen verdwijnen, waardoor bepaalde mails hun geldige ondertekening verliezen. Het helpt om per verzenddienst vast te leggen wie de DNS-selectors beheert en wanneer sleutels worden geroteerd.

Samenvatting

DKIM is een belangrijke technische controle voor e-mailintegriteit en domeinondertekening. De echte waarde ziet je pas wanneer ook DMARC-alignment van legitieme verzendstromen klopt. Lees over SPF · Lees over DMARC · Domeinmonitoring.