Wat is DKIM (DomainKeys Identified Mail)?

Definitie

DomainKeys Identified Mail is een van de drie pijlers van moderne e-mailauthenticatie, naast SPF en DMARC. Waar SPF de vraag beantwoordt of een bericht van een geautoriseerde server kwam, beantwoordt DKIM twee iets andere vragen. Het bevestigt dat het bericht is goedgekeurd door iemand die het verzendende domein beheert, en het bevestigt dat niemand met het bericht heeft geknoeid nadat het werd verzonden.

DKIM bereikt dit met public-key-cryptografie. Het verzendende domein houdt een private key die geheim wordt bewaard op zijn mailinfrastructuur, en het publiceert een bijbehorende public key in het Domain Name System die iedereen kan lezen. Wanneer het domein een bericht verstuurt, gebruikt zijn mailserver de private key om een digitale handtekening te genereren over geselecteerde delen van de e-mail en voegt die handtekening als een verborgen header aan het bericht toe. Wanneer het bericht aankomt, haalt de ontvangende server de public key op uit DNS en gebruikt die om de handtekening te controleren. Omdat alleen de houder van de private key een handtekening kon maken die de public key valideert, is een geslaagde DKIM-check stevig bewijs dat het bericht authentiek en ongeschonden is.

Hoe het werkt

DKIM steunt op een paar cryptografische sleutels. Er wordt een private key voor het domein gegenereerd en veilig opgeslagen op het verzendende mailsysteem, en de bijbehorende public key wordt gepubliceerd als een DNS TXT-record. Dat record staat op een speciale locatie die is opgebouwd uit een label dat een selector heet, in de vorm selector._domainkey.yourdomain.com. De selector bestaat zodat een domein meerdere sleutels tegelijk kan publiceren, wat handig is om elke verzenddienst een aparte sleutel toe te kennen en om sleutels in de loop van de tijd veilig te roteren.

Wanneer het domein een bericht verstuurt, selecteert zijn mailserver welke delen van de e-mail beschermd moeten worden. Dat omvat altijd de berichttekst en een gekozen set headervelden, doorgaans From, To, Subject, Date en andere. De server berekent een hash van de tekst en een hash over de gekozen headers, en gebruikt dan de private key om die data te ondertekenen, wat de handtekening oplevert. Dit alles wordt vastgelegd in een nieuwe header genaamd DKIM-Signature, die aan het bericht wordt toegevoegd. Die header draagt het ondertekenende domein in een d=-tag, de selector in een s=-tag, de lijst van ondertekende headers in een h=-tag, de body-hash in een bh=-tag, en de handtekening zelf in een b=-tag.

Aan de ontvangende kant leest de server de DKIM-Signature-header, neemt het domein en de selector, en zoekt het bijbehorende public key-record op in DNS. Vervolgens berekent hij de body-hash en de header-hash opnieuw met precies dezelfde headers als vermeld in h=, en gebruikt hij de public key om te verifiëren dat de handtekening in b= overeenkomt met die opnieuw berekende data. Als de juiste private key is gebruikt en geen van de ondertekende inhoud onderweg is gewijzigd, valideert de handtekening en slaagt DKIM. Als een ondertekende header of de tekst is gewijzigd, komen de hashes niet meer overeen en mislukt de check. Een praktisch gevolg is dat de handtekening alleen de expliciet vermelde headers dekt, en alleen geldig blijft zolang tussenliggende mailsystemen de ondertekende delen van het bericht niet wijzigen.

Waarom het belangrijk is voor e-mailbezorgbaarheid

DKIM is een sterk, blijvend vertrouwenssignaal voor mailboxproviders. Een consistent geldige DKIM-handtekening vertelt een provider dat een echt domein achter de mail staat en bereid is er verantwoording voor af te leggen, wat die mail helpt een plek in de inbox te verdienen. Net zo belangrijk: DKIM heeft een eigenschap die SPF mist. Omdat de handtekening in het bericht zelf meereist in plaats van af te hangen van de verbindende server, overleeft DKIM doorgaans e-mail forwarding, terwijl SPF vaak breekt wanneer een bericht wordt doorgestuurd. Dat maakt DKIM de duurzaamste van de twee checks over complexe bezorgpaden.

DKIM is ook een bouwsteen voor DMARC. DMARC slaagt wanneer SPF of DKIM slaagt en het resultaat overeenkomt met het zichtbare From-domein, dus een correct ondertekend DKIM-bericht geeft een domein een betrouwbare route naar DMARC-alignment. Sinds de afzendervereisten van Google en Yahoo uit 2024 wordt van bulkverzenders verwacht dat ze authenticeren met zowel SPF als DKIM, en mail die zonder een geldige DKIM-handtekening binnenkomt, wordt veel waarschijnlijker gefilterd of geweigerd. Een correct geconfigureerde DKIM-opstelling is verschoven van een best practice naar een basisverwachting voor iedereen die op schaal e-mail verstuurt.

Hoe VeriMails hiermee omgaat

DKIM en e-mailverificatie beschermen je deliverability vanuit twee verschillende richtingen, en een gezond e-mailprogramma heeft ze allebei nodig. DKIM authenticeert de berichten die je verstuurt en bewijst aan ontvangende servers dat de mail echt en ongewijzigd is. E-mailverificatie schoont het publiek op waar je naartoe verstuurt en zorgt dat elk adres op je lijst echt en bereikbaar is. Authenticatie zonder een schone lijst levert nog steeds bounces op, en een schone lijst zonder authenticatie oogt nog steeds onbetrouwbaar, dus de twee werken als een duo.

VeriMails concentreert zich op de ontvangerskant van dat duo. Elk adres dat je indient, gaat door syntaxvalidatie, een MX- en DNS-lookup, een live SMTP-handshake, catch-all-detectie, detectie van wegwerpadressen en role-based-detectie, wat de ongeldige adressen verwijdert die anders zouden bouncen en de reputatie schaden die je DKIM-, SPF- en DMARC-records moeten verdedigen. Om ook de authenticatiekant te ondersteunen, biedt VeriMails een gratis DKIM-generator die een sleutelpaar en het DNS-record dat je moet publiceren aanmaakt. Je kunt een lijst verifiëren via de REST API of een bulk-CSV-upload, met heldere deliverability-categorieën voor campagnebeslissingen. Verificatie begint bij $0.0019 per email, met 10,000 credits voor $19 en jaarplannen vanaf $12.50/month bij jaarlijkse facturering, en elk account start met 100 free credits, geen creditcard nodig, die nooit verlopen.

Veelgestelde vragen