Een DKIM-sleutel activeren

U activeert DKIM in drie bewegingen: in het dashboard van 2Mail een sleutel laten aanmaken, het record dat u daar te zien krijgt in de DNS van uw domein zetten, en na een geslaagde controle de ondertekening aanzetten. De naam van dat record bestaat uit een selector, het onderdeel _domainkey en uw domein. De fout die het vaakst voorkomt: het DNS-paneel plakt uw domein er zelf nog eens achteraan, en dan vindt niemand het record.

Wat DKIM doet en wat een selector is

DKIM zet een digitale handtekening op elk bericht dat via 2Mail vertrekt. De ontvangende server controleert die handtekening met een publieke sleutel in de DNS van uw domein. De private helft van de sleutel blijft op onze servers; die hoeft u nooit ergens in te vullen.

De selector is het etiket dat zegt welke sleutel gebruikt is. Hij staat in de handtekening van elk bericht, en de ontvanger zoekt de sleutel op onder de selector, gevolgd door ._domainkey en uw domein. Dankzij selectors kan een domein meerdere sleutels tegelijk hebben: één per dienst die namens u verstuurt, en tijdelijk twee wanneer u een sleutel vervangt. Anders dan bij SPF voegt u dus niets samen. De sleutel van uw kantoormail of nieuwsbrieftool blijft gewoon staan, die van 2Mail komt ernaast.

Altijd een TXT-record

Het DKIM-record van 2Mail is altijd een TXT-record. Het bevat de publieke sleutel zelf: een lange waarde die begint met v=DKIM1. Het dashboard van 2Mail toont de naam en de waarde, klaar om te kopiëren. Bij andere verzenddiensten komt u soms een CNAME-record tegen: dat bevat geen sleutel, maar verwijst naar een record dat die dienst zelf beheert. Voor 2Mail maakt u geen CNAME aan. Op één naam kan bovendien nooit tegelijk een CNAME en een ander record staan.

De sleutel activeren in zeven stappen

1. Open uw verzenddomein in het dashboard van 2Mail en laat bij de authenticatie een DKIM-sleutel aanmaken. U krijgt de naam van het record (met de selector als voorvoegsel), het type en de waarde te zien.
2. Ga naar het DNS-beheer van de partij waar de nameservers van uw domein staan. Dat is niet noodzakelijk de partij waar u het domein kocht.
3. Maak een record aan van het type TXT.
4. Vul als naam enkel het deel vóór uw domein in: de selector, een punt en _domainkey. Vrijwel elk paneel vult het domein zelf aan.
5. Plak de waarde letterlijk, zonder spaties of regeleinden toe te voegen.
6. Bewaar, ga terug naar het dashboard en laat 2Mail het record controleren. Zodra dat lukt, zet u de ondertekening aan.
7. Verstuur een testbericht naar een extern adres en bekijk de berichtkoppen: bij de authenticatieresultaten hoort dkim=pass te staan, met uw eigen domein erbij.

Waarom een lange sleutel soms in stukken moet

Eén tekenreeks in een TXT-record mag hoogstens 255 tekens tellen. Een sleutel van 2048 bit, vandaag de gangbare lengte, is langer. Zo'n waarde wordt daarom bewaard als meerdere tekenreeksen binnen hetzelfde record; de ontvanger plakt ze weer aan elkaar. De meeste panelen doen dat ongemerkt voor u. Weigert uw paneel de waarde omdat ze te lang is, knip ze dan zelf in twee stukken, zet elk stuk tussen dubbele aanhalingstekens en scheid ze met één spatie, nog altijd in één record. Maak er nooit twee aparte records van, en let op dat er bij het knippen geen teken wegvalt.

Waar u het record toevoegt, per DNS-beheerder

De valkuil is overal dezelfde: het paneel plakt uw domein automatisch achter de naam. Typt u de volledige naam met uw domein erbij, dan komt het record een niveau te diep te staan. Vul dus enkel het deel vóór uw domein in, tenzij het paneel uitdrukkelijk om de volledige naam vraagt.

• Cloudflare — kies uw domein, open DNS en de records, en voeg een record toe met als naam het deel vóór uw domein. De proxy-schakelaar (het oranje wolkje) bestaat niet voor TXT-records; daar hoeft u niets mee te doen.
• Combell — in het controlepaneel bij uw domeinnaam, onder het DNS-beheer. TXT-records hebben er een eigen rubriek.
• one.com — bij de DNS-instellingen, onder de DNS-records. Het paneel toont uw domein al achter het naamveld: typ enkel het voorste deel.
• TransIP — in het DNS-gedeelte van uw domein voegt u een regel toe met als naam het deel vóór uw domein. Vergeet niet onderaan op te slaan.
• OVHcloud — in het tabblad met de DNS-zone voegt u een record toe van het type TXT; het veld voor het subdomein krijgt het voorste deel van de naam.
• GoDaddy — in het DNS-beheer van het domein voegt u een nieuw record toe; het naamveld krijgt enkel het deel vóór uw domein.
• Microsoft 365 — staat de DNS van uw domein bij Microsoft zelf, dan voegt u in het beheercentrum bij uw domein een aangepast DNS-record toe. Ziet u daar al de records selector1 en selector2 onder _domainkey, laat die dan ongemoeid: dat zijn de sleutels van Microsoft voor mail die via Exchange Online vertrekt. Het record van 2Mail heeft een eigen selector en komt ernaast.

Controleren

De controle in het dashboard is de referentie. Wilt u zelf zien wat de buitenwereld ziet, vul dan uw domein en de selector uit het dashboard in de gratis SPF-, DKIM- en DMARC-checker in. Een nieuw record is doorgaans binnen het uur zichtbaar; een gewijzigd record volgt de vorige TTL.

Als de controle blijft falen

1. Kijk hoe de naam echt in het paneel staat. Eindigt hij op tweemaal uw domein, dan hebt u het domein er zelf bij getypt. Pas de naam aan tot enkel het voorste deel overblijft.
2. Controleer het paneel. Wijzen de nameservers naar een andere partij, dan staat het record op een plek waar niemand kijkt.
3. Controleer het type. Het moet een TXT-record zijn, geen CNAME.
4. Bekijk de waarde. Geen spaties, geen regeleinden, niet afgebroken halverwege, niet verdeeld over twee records, en geen gekrulde aanhalingstekens uit een e-mail of Word-document.
5. Weigert het paneel het onderstrepingsteken in _domainkey, dan kan enkel uw DNS-beheerder dat oplossen. Het onderstrepingsteken hoort bij de naam en mag niet weg.
6. Wacht de TTL af voor u opnieuw test, en test via het dashboard of de checker, niet vanaf uw eigen toestel.

Slaagt de controle, maar meldt een ontvanger toch dkim=fail, dan wijzigt een tussenliggende toepassing het bericht na de ondertekening, bijvoorbeeld een handtekeningtool of een disclaimer die achteraf toegevoegd wordt.

Meerdere domeinen

DKIM is per verzenddomein. Verstuurt u vanaf meerdere domeinen, dan herhaalt u deze stappen voor elk domein. Een subdomein, bijvoorbeeld een apart domein voor nieuwsbrieven, heeft zijn eigen record.

De sleutel later vervangen

Wilt u de sleutel roteren, bijvoorbeeld na een personeelswissel of omdat een beveiligingsbeleid dat vraagt, maak dan in het dashboard een nieuwe sleutel aan met een andere selector. Zet het nieuwe record in uw DNS en activeer de nieuwe sleutel zodra de controle slaagt. Trek daarna de oude sleutel in het dashboard in, en verwijder het oude record pas een paar dagen later. Zo blijven berichten die nog onderweg zijn geldig.

Staat uw SPF-record nog niet goed, begin dan met een SPF-record toevoegen bij uw DNS-beheerder. Zet daarna DMARC aan: het record stelt u op met de DMARC-recordgenerator. De achtergrond bij de drie records staat op SPF, DKIM en DMARC.

Veelgestelde vragen

Moet ik de private sleutel ergens invullen?

Nee. De private helft blijft op de servers van 2Mail. In uw DNS komt enkel het publieke deel, en dat mag iedereen zien.

Kan de sleutel van 2Mail naast die van Microsoft 365 of Google Workspace staan?

Ja. Elke dienst ondertekent met een eigen selector, en elke selector heeft een eigen record. Ze zitten elkaar niet in de weg; u hoeft niets samen te voegen of te verwijderen.

Volstaat DKIM zonder SPF?

Voor DMARC is het genoeg dat één van de twee slaagt met uw eigen domein, maar reken daar niet op. SPF faalt bij doorgestuurde mail en DKIM faalt wanneer een bericht onderweg gewijzigd wordt. Met beide in orde vangt de ene de andere op.

Hoe vaak moet ik de sleutel vervangen?

Een vaste regel bestaat niet. Vervang de sleutel wanneer uw eigen beveiligingsbeleid dat vraagt, of wanneer u een reden hebt om aan de huidige sleutel te twijfelen. Door met een nieuwe selector te werken, verloopt de wissel zonder onderbreking.

Lukt het niet?

Bezorg ons via contact uw domeinnaam en een schermafbeelding van het record in uw DNS-paneel. Wij kijken na wat er afwijkt.