Embedded Files
Inhoud
In het kort
In het kort
DKIM (DomainKeys Identified Mail) voegt een onzichtbare, cryptografische handtekening toe aan uitgaande e-mails. Ontvangende mailservers gebruiken deze digitale sleutel om te verifiëren dat de e-mail daadwerkelijk door jouw domein is verstuurd en dat de inhoud onderweg niet is aangepast door hackers. De stappen: genereer een DKIM sleutel in Google Workspace Admin en kopieer deze sleutel (ook wel "selector") in een TXT record in de DNS bij jouw domeinhoster. Het vervangen of roteren van de selector is eens per kwartaal.
Instellen in Google Workspace Admin
Instellen in Google Workspace Admin
In de Google Workspace Admin Console genereer je onder de Gmail-instellingen een unieke DKIM-sleutel (een TXT-record) voor jouw domein. Nadat je deze sleutel in de DNS van jouw domeinhoster hebt geplaatst, activeer je de DKIM-ondertekening in de Admin Console om uitgaande e-mails automatisch van een digitale handtekening te voorzien.
Stap 1: Genereer DKIM in Admin
Stap 1: Genereer DKIM in Admin
Vanuit Google Workspace Admin ga je naar:
Apps > Google Workspace > Gmail > E-mail verifiëren
In de afbeelding een Je ziet jouw versie en mogelijk is die zelfs leeg. Klaar om een nieuwe aan te maken? Klik op de knop "Nieuwe Record Genereren".
Stap 2: DKIM sleutel en selector genereren
Stap 2: DKIM sleutel en selector genereren
Er zijn twee invul velden, de bitlengte en de naam van de selector.
DKIM sleutel bitlengte
DKIM sleutel bitlengte
Bij het genereren van een nieuwe selector wordt een privé en een publieke sleutel gecreëerd. Asymmetrische cryptografie gebruikt een wiskundig gekoppeld sleutelpaar dat bestaat uit een openbare publieke sleutel voor encryptie of verificatie en een geheime privésleutel voor decryptie of ondertekening. De privé sleutel krijgen we niet te zien, de publieke sleutel nemen we in DNS op.
We kiezen voor 2048-bitlengte, die is sterker dan de 1024 variant.
Selector
Selector
Een DKIM selector is een uniek label of codenaam met daaraan de publieke sleutel gekoppeld. voor DNS Het is belangrijk om die naam uniek te houden, omdat sommige ISP's de DNS bestaande records pas na 24 tot wel 72 uur vervangen. Nieuwe records worden direct opgevraagd.
De naam van de selector verandert dus elk kwartaal zodra je een nieuw record aanvraagt. De opbouw is vrij, maar neem in de naam de dienst, bijvoorbeeld "ggl" voor Google, of "lps" voor Laposta, etc.. Neem de bitlengte, jaar plus kwartaal en de afdelingsnaam op. Laposta is waarschijnlijk voor afd. Communicatie en facturen bij Financën, etc. Voor Google Workspace bijv.: ggl-2048-2026q3-ict
Instellen bij de domeinbeheerder (DNS)
Instellen bij de domeinbeheerder (DNS)
Bij de domeinbeheerder waar je DNS wordt beheerd (zoals TransIP, Mijn.host of Cloudflare) voeg je een nieuw TXT-record toe met de hostnaam (selector) en de lange DKIM-waarde die Google heeft gegenereerd. Hiermee publiceer je de openbare sleutel, zodat ontvangende mailservers jouw digitale handtekening kunnen verifiëren.
Stap 3: Kopieer de publieke key
Stap 3: Kopieer de publieke key
Op de afbeelding is te zien welk deel gekopieerd moet worden, direct onder het kopje "Waarde TXT-record:". Dat is inclusief "v=DKIM1; k=rsa;".
Stap 4: Plak de selector en de publieke key
Stap 4: Plak de selector en de publieke key
Login bij jouw domeinhoster. In dit voorbeeld is het TransIP. Ga naar de domein instellingen van jouw domein.
Kopieer de volledige tekst vanuit Google Workspace Admin onder kopje "Naam DNS-host (naam TXT-record):" en plak dit als Naam. Dit is de feitelijke "selector":
In dit voorbeeld is het "ggl-2048-2026q3-ict._domainkey".
De TTL kun je overnemen zoals op de afbeelding. Het type is TXT.
In het Waarde veld plak je de publieke key uit stap 3.
Volledig is de TXT record op te vragen, in dit voorbeeld van dit domein:
ggl-2048-2026q3-ict._domainkey.fornonprofits.nl
Stap 5: Verificatie Starten
Stap 5: Verificatie Starten
Activeer de nieuwe DKIM sleutel. Hiermee is de procedure afgerond! Het is een goed idee om te controleren of de nieuwe DKIM sleutel in e-mails te vinden is.
Stap 6: Controleer mailheader
Stap 6: Controleer mailheader
Om te testen, stuur een e-mail van het domein met de nieuwe DKIM sleutel naar bijvoorbeeld een GMail.com account.
Vanuit GMail.com open je het bericht, klik je op de drie puntjes (zie afbeelding) en kies je voor Origineel tonen.
Je krijgt nu de zogenaamde mailheader te zien. Daarin staat bijvoorbeeld vanaf welk IP de mail is verzonden (belangrijk voor SPF) en ook de DKIM. Met een Ctrl-F (Find/zoeken) op de selector die je hebt gegeven, zoals in dit voorbeeld "ggl-2048-2026q3-ict". Staat die er in dan is de actie geslaagd.
Anti-misbruikalliantie
Anti-misbruikalliantie
M3AAWG is de internationale instantie van de IT-sector waarin techgiganten, e-mailproviders en beveiligingsexperts samenwerken om spam, phishing en online misbruik wereldwijd te bestrijden.
De werkgroep stelt de officiële best practices op tegen spam, phishing, DDoS-aanvallen en malware, en vormt de drijvende kracht achter moderne e-mailbeveiligingsstandaarden.
Meer over DKIM beleid: http://www.m3aawg.org/DKIMKeyRotation
Page updated
Report abuse