DKIM-handleiding: wat het is, hoe het werkt en hoe je het instelt

Wat is DKIM?

DomainKeys Identified Mail (DKIM) is een protocol voor e-mailverificatie dat gebruikmaakt van cryptografie met openbare sleutels om te controleren of een e-mail daadwerkelijk afkomstig is van uw domein en na verzending niet is gewijzigd. In plaats van uitsluitend te vertrouwen op het IP-adres van de verzendende server, voegt DKIM aan elke uitgaande e-mail een unieke digitale handtekening toe.

Wanneer een ontvangende mailserver je bericht ontvangt, haalt deze je openbare sleutel op uit het DNS en gebruikt deze om de handtekening te valideren. Als de handtekening overeenkomt, doorstaat het bericht de DKIM-authenticatie.

Hoe DKIM werkt

DKIM maakt gebruik van een paar cryptografische sleutels: een privésleutel en een openbare sleutel.

De privésleutel wordt veilig bewaard op uw uitgaande mailserver of bij uw e-mailprovider. Telkens wanneer er een e-mail wordt verzonden, genereert deze privésleutel een unieke digitale handtekening op basis van specifieke onderdelen van het bericht, zoals de hoofdtekst en bepaalde headers. De handtekening wordt vervolgens aan de e-mail toegevoegd als een DKIM-Signature-header.

Wanneer de e-mail de ontvanger bereikt, haalt diens mailserver het ondertekenende domein en de selector uit de header, haalt de bijbehorende openbare sleutel op uit uw DNS-records en verifieert de handtekening.

Als alles klopt, is DKIM geslaagd. Als de e-mail na het ondertekenen is gewijzigd of als de handtekening niet kan worden geverifieerd, mislukt de authenticatie.

Uitleg over de syntaxis van het DKIM-record

Een openbare DKIM-sleutel wordt gepubliceerd als een DNS-TXT-record. Dit record geeft ontvangende mailservers aan hoe ze de handtekening in je e-mails kunnen verifiëren.

Een standaard DKIM-record ziet er als volgt uit:

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCA...

Uitleg over DKIM-selectors

Een DKIM-selector geeft aan welke openbare sleutel moet worden gebruikt om een specifieke e-mailhandtekening te valideren.

In plaats van één DKIM-sleutel voor een heel domein te publiceren, kunnen organisaties meerdere selectors aanmaken die naar verschillende sleutels verwijzen. Hierdoor kunnen verschillende e-mailproviders, applicaties of afdelingen afzonderlijke ondertekeningssleutels gebruiken zonder elkaar te hinderen.

Het kan bijvoorbeeld zo zijn dat uw marketingplatform e-mails ondertekent met de ene selector, terwijl Microsoft 365 een andere gebruikt. Een typische selector ziet er als volgt uit: selector1._domainkey.example.com

• selector1 is de selector.
• _domainkey geeft de DKIM-naamruimte aan.
• example.com is het ondertekenende domein.

Hoe DKIM instellen

Om DKIM in te stellen, moet u een sleutelpaar genereren, de openbare sleutel in DNS publiceren en uw e-maildienst zo configureren dat uitgaande berichten worden ondertekend met de bijbehorende privésleutel.

De precieze werkwijze verschilt enigszins, afhankelijk van je e-mailprovider, maar de algemene werkwijze blijft hetzelfde.

• Een DKIM-sleutelpaar genereren: De meeste e-mailproviders genereren automatisch een publiek/privé-sleutelpaar wanneer je DKIM inschakelt.
• Publiceer de openbare sleutel: voeg het meegeleverde DKIM-record toe aan de DNS van uw domein als een TXT-record (of, in sommige implementaties, als een CNAME-record).
• DKIM-ondertekening inschakelen: Schakel DKIM-ondertekening in op uw e-mailplatform, zodat elke uitgaande e-mail een DKIM-Signature-header bevat.
• Wacht tot de DNS-wijzigingen zijn doorgevoerd: DNS-updates worden doorgaans binnen enkele uren doorgevoerd, hoewel dit bij sommige providers tot 48 uur kan duren.
• Controleer of je configuratie klopt: verstuur een test-e-mail en controleer of de DKIM-handtekening de authenticatie doorstaat voordat je de configuratie in productie neemt.

Aanwijzingen voor het instellen van specifieke providers

Hoe je DKIM kunt controleren en valideren

Nadat je je DKIM-record hebt gepubliceerd, is de volgende stap om te controleren of het naar behoren werkt. Dit houdt in dat je moet controleren of je e-maildienst de DKIM-handtekeningen correct genereert en of de ontvangende e-mailservers deze met succes kunnen valideren.

Een grondige DKIM-validatie moet het volgende bevestigen:

• Er is een DKIM-record voor het geselecteerde domein.
• De selector wordt correct omgezet.
• De openbare sleutel is geldig.
• E-mails bevatten een DKIM-Signature-header.
• De handtekening is geverifieerd.
• DKIM komt overeen met het zichtbare „Van”-domein voor DMARC.

Je kunt de berichtkopteksten ook handmatig bekijken in Gmail, Outlook of Apple Mail om de resultaten van de DKIM-authenticatie te controleren.

Veelvoorkomende DKIM-fouten en hoe je ze kunt oplossen

Zelfs als DKIM is geconfigureerd, kunnen er authenticatiefouten optreden als gevolg van verkeerde DNS-instellingen, verlopen sleutels, onjuiste selectors of wijzigingen in het bericht tijdens de verzending. De meeste problemen worden niet veroorzaakt door het DKIM-protocol zelf, omdat veel ervan het gevolg zijn van afwijkingen in de configuratie of wijzigingen in de infrastructuur.

Hier volgt een kort overzicht van de meest voorkomende DKIM-fouten en hoe je deze kunt oplossen:

Als DKIM plotseling niet meer werkt na het wisselen van e-mailprovider of het bijwerken van de DNS, controleer dan of je de juiste selector gebruikt, of je openbare sleutel correct is doorgegeven en of je e-mailplatform uitgaande e-mail daadwerkelijk ondertekent.

Afstemming tussen DKIM en DMARC

Een succesvolle DKIM-handtekening betekent niet automatisch dat een e-mail aan de DMARC-controle voldoet.

DMARC vereist afstemming, wat betekent dat het domein dat wordt gebruikt om de e-mail te ondertekenen (het d= waarde in de DKIM-handtekening) moet overeenkomen met het domein dat in het zichtbare „Van:”-adres wordt weergegeven, of een goedgekeurd subdomein daarvan zijn.

Bijvoorbeeld:

• Van: company.com
• DKIM d=: company.com — Afgestemd
• DKIM d=: mailservice.com — Niet uitgelijnd

Zelfs als de DKIM-handtekening met succes wordt gevalideerd, kan DMARC nog steeds mislukken als het ondertekenende domein niet overeenkomt met het „Van”-domein.

DMARC ondersteunt twee afstemmingsmodi:

Veel organisaties maken gebruik van e-mailplatforms van derden voor nieuwsbrieven, transactionele e-mails of marketingcampagnes. Als deze diensten berichten ondertekenen met hun eigen domein in plaats van dat van u, wordt DKIM wel goedgekeurd, maar faalt DMARC vanwege een discrepantie.

Door voor elke provider een aangepaste DKIM-ondertekening in te stellen, zorgt u ervoor dat de authenticatie altijd succesvol verloopt.

DKIM-sleutellengtes

De veiligheid van DKIM hangt grotendeels af van de cryptografische sleutel die wordt gebruikt om uw e-mails te ondertekenen.

Hoewel 1024-bits RSA-sleutels ooit de norm waren, wordt in moderne beveiligingsaanbevelingen de voorkeur gegeven aan 2048-bits RSA-sleutels, die een betere bescherming bieden tegen brute-force-aanvallen en voldoen aan de huidige beste praktijken in de sector.

DKIM-sleutelrotatie

Door regelmatig sleutels te rouleren worden de gevolgen van een gecompromitteerde privésleutel beperkt en kunnen organisaties een goede e-mailbeveiligingspraktijk handhaven.

Een typisch rotatieproces omvat:

• Een nieuw sleutelpaar wordt aangemaakt.
• De nieuwe openbare sleutel publiceren met behulp van een nieuwe selector.
• Je e-mailserver configureren om e-mails te ondertekenen met de nieuwe selector.
• Er voldoende tijd inplannen zodat eerder ondertekende e-mails kunnen worden bezorgd.
• De oude selector uit DNS verwijderen.

Door selectors te gebruiken verloopt deze overgang naadloos, omdat zowel de oude als de nieuwe sleutels tijdens de migratieperiode naast elkaar kunnen bestaan.

Organisaties die meerdere domeinen of e-mailproviders beheren, automatiseren dit proces vaak om de operationele lasten te verminderen en het risico op verouderde of vergeten DKIM-sleutels te elimineren.

DKIM versus SPF versus DMARC

SPF, DKIM en DMARC zijn elkaar aanvullende protocollen die zijn ontworpen om verschillende aspecten van e-mailverificatie aan te pakken.

In plaats van het ene protocol boven het andere te verkiezen, zouden organisaties alle drie moeten implementeren. Bijvoorbeeld:

• SPF kan mogelijk niet goed werken wanneer een e-mail wordt doorgestuurd.
• DKIM blijft vaak behouden bij het doorsturen, omdat de handtekening intact blijft.
• DMARC beschouwt de authenticatie als geslaagd als ofwel SPF ofwel DKIM de controle doorstaat en overeenkomt met het „From“-domein.

Samen bieden ze een aanzienlijk betere bescherming tegen spoofing, phishing en identiteitsfraude dan welk protocol dan ook op zichzelf kan bieden.

Gehoste DKIM

Naarmate organisaties groeien, wordt het beheer van DKIM bij meerdere e-mailproviders steeds complexer.

Verschillende marketingplatforms, CRM-systemen, helpdesks en diensten voor transactionele e-mail vereisen vaak afzonderlijke DKIM-selectors, unieke DNS-records en periodieke sleutelrotatie.

Zonder gecentraliseerd beheer raak je gemakkelijk het overzicht kwijt over:

• Actieve selectors
• Verlopen sleutels
• Verweesde DNS-records
• Aanbiederspecifieke configuraties voor ondertekening

Hosted DKIM vereenvoudigt dit proces door het DKIM-beheer te centraliseren, het handmatige DNS-onderhoud te verminderen en organisaties te helpen een goede authenticatie te handhaven op alle verzendplatforms.

DKIM-best practices

Het volgen van enkele operationele best practices kan zowel de betrouwbaarheid van de authenticatie als de onderhoudbaarheid op de lange termijn aanzienlijk verbeteren.

Regelmatige controle is net zo belangrijk als de eerste configuratie. E-mailproviders passen hun instellingen aan, DNS-records veranderen en er komen in de loop van de tijd nieuwe verzendservices bij. Door periodieke controles te houden, zorgt u ervoor dat DKIM uw domein blijft beschermen naarmate uw e-mailinfrastructuur groeit.