DKIM=none: wat dit betekent en hoe je de foutmelding ‘Bericht niet ondertekend’ kunt verhelpen

Wat betekent DKIM=none?

dkim=none in een Authentication-Results-header betekent dat de ontvangende mailserver helemaal geen DKIM-handtekening op het bericht. Het is geen mislukte controle, maar het ontbreken ervan. Het bericht is ofwel nooit ondertekend, ofwel is de handtekening tijdens het verzenden verwijderd.

Zo wordt de koptekst weergegeven in een inbox:

Authenticatieresultaten: mx.google.com; dkim=none (bericht niet ondertekend) [email protected];

• dkim=none: Geeft aan dat er geen handtekening is.
• (bericht niet ondertekend): Deze tekst tussen haakjes is de reden-string, waarin expliciet wordt vermeld dat er geen handtekening aanwezig was, in tegenstelling tot een situatie waarin er wel een handtekening was maar deze niet kon worden geverifieerd.
• [email protected]: Geeft het domein weer dat naar verwachting zou worden geëvalueerd.

Dit resultaat wordt gedefinieerd in RFC 7601 (voor de Authentication-Results-header) en RFC 6376 (de DKIM-specificatie). Je kunt je headers ook in een e-mailheader-analysator om dit snel op te sporen.

DKIM=none versus DKIM=fail versus DKIM=neutral

Het is van cruciaal belang om onderscheid te maken tussen deze drie resultaten, omdat ze wijzen op totaal verschillende problemen in uw authenticatieconfiguratie.

Is DKIM=none een probleem?

Is het een probleem als er ‘dkim=none’ in een bericht staat? Het eerlijke antwoord hangt af van de herkomst van de e-mail.

Als je bij één inkomend bericht van een derde partij ‘dkim=none’ ziet staan, hoeft dat niet per se jouw probleem te zijn. Het betekent gewoon dat hun systeem de e-mail niet ondertekent.

Het is echter een groot probleem wanneer dit voorkomt in je eigen uitgaande e-mail. Dit betekent dat je berichten niet ondertekend zijn en de DMARC-controle niet zullen doorstaan, tenzij SPF slaagt en overeenkomt. Omdat DMARC vereist dat ten minste één van SPF of DKIM slaagt en overeenkomt, mislukt niet-ondertekende e-mail die uitsluitend op SPF vertrouwt op het moment dat een bericht wordt doorgestuurd. 

Om je huidige configuratie te controleren, voer je je domein in via een tool voor het opzoeken van DKIM-records en lees je meer over DKIM- en DMARC-afstemming om ervoor te zorgen dat uw uitgaande e-mails goed beveiligd blijven.

Mogelijke oorzaken van de foutmelding ‘DKIM none message not signed’ en hoe je deze kunt oplossen

Als je DKIM nog nooit voor dit domein hebt ingeschakeld, begin dan met de eerste oplossing, aangezien die in de meeste gevallen volstaat.

DKIM is niet ingeschakeld in de e-mailinstellingen

Om authenticatiecontroles op basis van cryptografie uit te voeren, moet u DKIM inschakelen in de e-mailinstellingen. Op die manier voegt het domein speciale headers toe aan elke e-mail die vanaf uw domein wordt verzonden en die een privésleutel bevat. Deze sleutel wordt vergeleken met de openbaar beschikbare sleutel om de authenticiteit van de afzender te verifiëren. Dit zorgt er ook voor dat geen enkele kwaadwillende partij de inhoud van de e-mail heeft gemanipuleerd.

DKIM inschakelen in Gmail of Google Workspace

Hier lees je hoe je DKIM kunt inschakelen in de e-mailinstellingen in je Google Beheerconsole:

1. DKIM record genereren.
2. Voeg de TXT-recordnaam & DKIM-sleutel toe aan je domein.
3. Meld je aan bij je Google Admin Console en ga naar Menu > Apps > Google Workspace > Gmail.
4. Klik op ‘E-mail verifiëren’.
5. Ga naar het menu ‘Geselecteerd domein’ en selecteer het domein waarvoor u DKIM wilt inschakelen.
6. Klik op de knop ‘Start authenticatie’. Wacht even; je DKIM-configuratie wordt voltooid en bovenaan de pagina verschijnt de status: ‘E-mail wordt geauthenticeerd met DKIM’.

DKIM inschakelen in Microsoft Office 365

Zo kunt u DKIM inschakelen in de e-mailinstellingen van Microsoft Office 365:

1. Meld u eerst aan bij het Office 365-portaal.
2. Ga naar het pictogram van de app-launcher in de linkerbovenhoek en klik op ‘Beheer’.
3. Kijk naar de navigatiebalk linksonder, ga naar ‘Beheer’ en kies ‘Exchange’.
4. Ga naar ‘Beveiliging’ en klik op ‘DKIM’.
5. Kies het domein waarvoor u DKIM wilt inschakelen en selecteer vervolgens ‘Inschakelen’ om het ondertekenen van berichten voor het gekozen domein met DKIM-handtekeningen toe te staan. Volg dezelfde stappen om DKIM voor elk aangepast domein in te schakelen.

Ontbrekend DKIM-record

Als je de foutmelding „Geen DKIM-record gevonden“ tegenkomt, betekent dit dat je domein niet is geconfigureerd volgens de DKIM-normen voor e-mailverificatie. Om deze melding te verhelpen, moet je DKIM voor je domein configureren door een DNS TXT-record te publiceren met behulp van onze DKIM-recordgenerator , die direct een record met de juiste syntaxis kan genereren. Dit is wat je moet doen:

1. Kies je DKIM-selector (bijv. selector1)
2. Typ of plak je domeinnaam (bijv. exampledomain.com).
3. Klik vervolgens op ‘DKIM-record genereren’.
4. U ontvangt een privésleutel die u moet invoeren in uw DKIM ondertekenaar.
5. Vervolgens ontvangt u het gegenereerde DKIM-record met uw openbare sleutel.

Fouten bij de DKIM-configuratie

Syntaxfouten en configuratiefouten in je DKIM-record leiden tot DKIM-fouten. Je kunt je record als volgt instellen:

1. Kies een DKIM-selector.
2. Genereer een paar publieke en private DKIM-sleutels.
3. Gebruik een DKIM TXT-record om een selector en de openbare sleutel te publiceren.
4. Tokenize alle uitgaande e-mails voor je domein.
5. Zorg ervoor dat het DKIM-record met de openbare sleutel correct in het DNS is gepubliceerd. Het wordt aangeraden om het te kopiëren en te plakken in plaats van het handmatig in te voeren, aangezien het een combinatie is van cijfers, speciale tekens en zowel hoofdletters als kleine letters.

Daarnaast moet u, om een foutmelding als „DKIM none message not signed“ te voorkomen, afzien van het op grote schaal delen van sleutels, aangezien een vereenvoudigde en geordende configuratie van gedeelde sleutels een kwetsbaarheid vormt waar hackers misbruik van kunnen maken. Controleer bovendien de header van alle uitgaande e-mails; deze moet er als volgt uitzien: dkim none message not signed.

DNS wordt niet lokaal gehost

Het wordt aangeraden om DNS lokaal te hosten, zodat u meer controle hebt over uw netwerk en DKIM correct kunt configureren. Bovendien kunt u zo de DKIM-instellingen voor de gehele netwerkstack centraliseren. Volg deze stappen om het probleem op te lossen:

1. Zorg voor een statisch IP-adres van je domein.
2. Installeer DNS-serversoftware. Enkele beschikbare opties zijn BIND, Microsoft DNS en dnsmasq.
3. Configureer de DNS-serversoftware met de juiste instellingen, zoals de domeinnaam die je wilt gebruiken en eventuele subdomeinen of zones die je wilt aanmaken.
4. Maak DNS-records aan voor je domein en subdomeinen, zoals A-records voor IP-adressen en MX-records voor e-mailservers. Als alles naar behoren werkt, kun je de DNS-instellingen op de website van je domeinregistrar aanpassen, zodat deze naar je eigen DNS-server verwijzen.

Hoe je kunt controleren of DKIM nu ondertekent

Zodra u de oplossingen hebt toegepast, moet u controleren of uw uitgaande berichten daadwerkelijk een geldige handtekening bevatten. Hieronder volgen drie manieren om dit te controleren:

1. Stuur een testbericht en bekijk de header: Stuur een e-mail vanaf uw domein naar een extern adres (zoals een persoonlijk Gmail-account). Open de e-mail, selecteer ‘Origineel weergeven’ en zoek naar de koptekst ‘Authentication-Results’. U wilt ‘dkim=pass’ zien in plaats van ‘dkim=none’. U kunt ook onze E-mailheader-analysator om direct inzicht te krijgen. 
2. Gebruik een zoekfunctie: Voer uw domein en selector in via onze DKIM-recordzoekfunctie om direct te controleren of uw openbare sleutel correct wordt omgezet in het DNS.
3. Houd rekening met vertraging bij de verspreiding: DNS-wijzigingen worden niet altijd onmiddellijk doorgevoerd. Het kan tot 48 uur duren voordat een nieuw gepubliceerd DKIM-record volledig is doorgevoerd in wereldwijde netwerken. Als u direct na het publiceren van uw record 'dkim=none' ziet, is dit normaal en geen teken dat uw aanpassing is mislukt.

Fix "DKIM geen bericht niet ondertekend" met PowerDMARC!

• Kies een DKIM-selector.
• Genereer een paar publieke en private DKIM-sleutels.
• Gebruik DKIM TXT-record om een selector en de openbare sleutel te publiceren.
• Tokenize alle uitgaande e-mails voor je domein.

Veelgestelde Vragen

Wat betekent dkim=none?

Dit betekent dat de ontvangende e-mailserver geen DKIM-handtekening in het bericht heeft aangetroffen. De e-mail is ofwel verzonden zonder dat deze door de verzendende server was ondertekend, ofwel is de handtekening verwijderd terwijl het bericht onderweg was.

Wat betekent ‘bericht niet ondertekend’ in de koptekst van een e-mail?

Dit is de specifieke reden waarom een DKIM-controle de uitkomst „none“ opleverde. Hiermee wordt expliciet bevestigd dat er geen handtekening aanwezig was in de te controleren e-mail, wat een verschil is met een situatie waarin wel een handtekening aanwezig was, maar de verificatie mislukte.

Is dkim=none slecht?

Het is een probleem als dit voorkomt in e-mails die uw organisatie verstuurt, omdat dit betekent dat uw uitgaande e-mail volledig op SPF vertrouwt voor authenticatie. Als een niet-ondertekende e-mail wordt doorgestuurd, zal deze de DMARC-controle niet doorstaan. Bij inkomende e-mail van anderen betekent het simpelweg dat zij hun berichten niet ondertekenen.

Wat is het verschil tussen dkim=none en dkim=fail?

dkim=none betekent dat er geen handtekening aan het bericht was toegevoegd. dkim=fail betekent dat er wel een handtekening aanwezig was, maar dat de ontvangende server deze niet kon verifiëren, meestal omdat de sleutels niet overeenkwamen of omdat de inhoud van de e-mail tijdens het verzenden was gewijzigd.

Hoe lang duurt het voordat een nieuw DKIM-record werkt?

Zodra je een nieuw DKIM-record in je DNS publiceert, kan het tot 48 uur duren voordat dit volledig is doorgevoerd op alle servers wereldwijd. Het is normaal dat je tijdens deze doorvoertijd nog steeds ‘dkim=none’ ziet in test-e-mails.