Direct naar de inhoud
Aan de slag

DKIM-checker

Zoek de publieke DKIM-sleutel achter een selector op, of laat de checker de selectors van veelgebruikte maildiensten proberen, en zie of de sleutel geldig en sterk genoeg is.

Screenshot van TXT-records in de DNS-manager van DNSense
Gratis DKIM-tool

Controleer een DKIM-record

Uitleg

Hoe DKIM werkt en hoe je je selector vindt

DKIM (DomainKeys Identified Mail) ondertekent elk bericht dat je verstuurt met een privésleutel. De bijbehorende publieke sleutel staat in DNS, zodat ontvangers kunnen controleren dat het bericht echt van je domein komt en onderweg niet is gewijzigd. DKIM is een van de twee controles achter DMARC, naast SPF.

De publieke sleutel staat in een TXT-record op selector._domainkey.jouwdomein.nl. De selector is een naam die je mailprovider kiest, dus één domein kan meerdere sleutels hebben, één per verzendende dienst.

Om je selector te vinden, stuur je een mail naar jezelf en open je het originele bericht. In de DKIM-Signature-header is de s=-tag de selector en d= het domein. Veelgebruikt zijn google voor Google Workspace en selector1 en selector2 voor Microsoft 365.

TagBetekenis
v=DKIM1Markeert het record als DKIM.
k=rsaHet sleuteltype. rsa is de standaard, ed25519 wordt ook ondersteund.
p=De publieke sleutel. Een lege waarde betekent dat de sleutel is ingetrokken.
t=yTestmodus. Verwijder die zodra DKIM werkt.

Gebruik RSA-sleutels van 2048 bit. Sleutels van 1024 bit werken nog, maar worden niet meer aanbevolen.

Vragen

Veelgestelde vragen over DKIM

Een DKIM-record is een DNS TXT-record met de publieke sleutel waarmee ontvangers de handtekening op je e-mail controleren. Het staat op selector._domainkey.jouwdomein.

De selector is een naam die naar één DKIM-sleutel wijst. Je mailprovider kiest hem, bijvoorbeeld google of selector1. Je vindt hem in de s=-tag van de DKIM-Signature-header van een mail die je hebt verstuurd.

Vul je domein en de selector in. Laat je de selector leeg, dan probeert de checker de selectors van veelgebruikte maildiensten. Je ziet de sleutel, het type en eventuele fouten of waarschuwingen.

Of de selector is niet degene die je provider gebruikt, of het TXT- of CNAME-record is nog niet gepubliceerd. Controleer de s=-tag in een verstuurd bericht en de instructies van je mailprovider.

Hij werkt nog bij de meeste ontvangers, maar 2048 bit is de aanbevolen grootte. Wissel naar een nieuwe sleutel als je provider dat toestaat.

Nee. De checker zoekt publieke DNS-records op voor het domein dat je invult en toont het resultaat.