DKIM implementatiegids: Veelvoorkomende valkuilen en hoe ze te vermijden

DKIM (Domain Keys Identified Mail) is een essentieel e-mailverificatieprotocol dat de integriteit van berichten en de legitimiteit van afzenders verifieert. DKIM is essentieel voor BIMI (Brand Indicators for Message Identification) omdat alleen correct geverifieerde e-mails uw merklogo kunnen weergeven in de inbox. DKIM is echter gevoelig voor een aantal veelvoorkomende valkuilen die zowel de beveiliging als de deliverability kunnen ondermijnen.

• Ontbrekende of onjuiste openbare sleutel in DNS: Als de DKIM publieke sleutel niet is gepubliceerd of onjuist is geformatteerd in je DNS, zal de authenticatie mislukken. Gebruik altijd een DKIM record generator en valideer je DNS entries op syntaxis fouten.
• Zwakke of verouderde sleutellengte: Het gebruik van sleutels korter dan 1024 bits (bijvoorbeeld 512 bits) maakt uw DKIM kwetsbaar voor aanvallen. Gebruik minstens 1024-bits sleutels - 48-bits wordt aanbevolen - en wissel ze om de 6-12 maanden af.
• Uitlijningsproblemen: Het domein in de DKIM handtekening (d= waarde) moet overeenkomen met het domein in het "Van" adres. Een verkeerde uitlijning leidt tot mislukte verificatie en kan DMARC-compliance doorbreken.
• Verkeerde selector: De selector in uw DNS-record moet overeenkomen met de selector in uw e-mailheader. Zelfs een mismatch van één letter kan tot fouten leiden.
• Onjuiste opmaak: DKIM-records moeten een enkele, ononderbroken string zijn in DNS. Regeleinden, puntkomma's zonder escape of ontbrekende velden (zoals v=DKIM1 of k=rsa) maken het record ongeldig.
• DKIM-ondertekening vergeten in te schakelen: Het publiceren van het DNS-record is niet genoeg - zorg ervoor dat DKIM-ondertekening is ingeschakeld op uw mailserver of bij uw e-mailprovider.
• Subdomeinen en externe leveranciers negeren: Als u e-mail verzendt vanaf subdomeinen of services van derden gebruikt, moet DKIM voor elk van deze services correct zijn geconfigureerd om hiaten in de verificatie te voorkomen.
• Niet monitoren of testen: Test regelmatig uw DKIM-instellingen en monitor DMARC-rapporten om problemen in een vroeg stadium op te sporen. Stuur na elke wijziging testmails en controleer of DKIM wordt geaccepteerd.

• Gebruik sterke, regelmatig geroteerde sleutels: 1024-2048 bits.
• Controleer de opmaak van DNS en de uitlijning van selectors dubbel: Zorg voor correcte syntaxis en overeenkomende selectors.
• Lijn DKIM domeinen uit: Het domein in de DKIM handtekening moet overeenkomen met uw "Van" adres.
• Test na elke update: Controleer de verificatieresultaten met DMARC-rapporten.
• Coördineer met verzenders van derden: Zorg ervoor dat alle leveranciers DKIM correct implementeren.
• Trek oude of gecompromitteerde sleutels in: En verwijder ze uit DNS om misbruik te voorkomen.

• Controleer op DNS-propagatievertragingen: Wijzigingen kunnen tot 48 uur duren.
• Bekijk DMARC- en DKIM-foutrapporten: Zoek naar aanwijzingen over wat er mislukt en waarom.
• Controleer of de inhoud van berichten niet is gewijzigd na ondertekening: Controleer of doorstuur- of beveiligingstools het bericht niet wijzigen.
• Raadpleeg de documentatie van uw e-mailserviceprovider: Volg platformspecifieke richtlijnen om problemen met verificatie op te lossen.