Gratis DKIM-checker
Controleer de DKIM-handtekeningen en keyconfiguratie van je domein in een paar seconden. Eén scan checkt de aanwezigheid en sterkte van je key, vindt selectors en controleert de DMARC-alignment.
Gratis, geen account nodig. Vul een domein in om te beginnen.
Wat is DKIM?
DKIM (DomainKeys Identified Mail) is een standaard voor e-mailauthenticatie, vastgelegd in RFC 6376. Met public-key-cryptografie krijgt elke uitgaande e-mail een digitale handtekening. Zo kunnen ontvangende mailservers controleren of het bericht echt door de domeineigenaar is verstuurd en of de inhoud onderweg niet is aangepast.
Zonder DKIM kan een ontvanger niet betrouwbaar vaststellen of een e-mail die van jouw domein lijkt te komen ook echt door jou is geautoriseerd. Aanvallers kunnen de From-header vervalsen en phishing of spam sturen die van jouw organisatie lijkt te komen. DKIM dicht dat gat met een cryptografisch bewijs van echtheid en integriteit.
DKIM is een van de drie pijlers van moderne e-mailauthenticatie, naast SPF en DMARC. SPF valideert het IP-adres van de verzendende server, DKIM valideert het bericht zelf. Samen met DMARC, dat de resultaten van SPF en DKIM koppelt aan het zichtbare From-domein, vormen ze een complete verdediging tegen e-mailspoofing en imitatie.
Wat deze checker controleert
Onze DKIM-checker scant de DKIM-configuratie van je domein grondig en legt gevonden problemen helder uit.
Aanwezigheid van je DKIM-key
Controleert of er in je DNS een DKIM public key record bestaat voor bekende selectors. Zonder gepubliceerde key kunnen ontvangende servers je e-mailhandtekeningen niet verifiëren.
Sterkte van je key (minimaal 2048 bits)
Controleert of je DKIM-key minstens 2048-bit RSA gebruikt. Keys korter dan 2048 bits gelden als zwak en kunnen door een vastberaden aanvaller worden gekraakt, waardoor de hele handtekening waardeloos wordt.
Selectors vinden
Probeert veelgebruikte selectors (default, google, selector1, s1, k1 en meer) om alle actieve DKIM-keys van je domein te vinden, ook die van externe verzenders.
Alignment met DMARC
Controleert of het ondertekenende domein in je DKIM-handtekening overeenkomt met het domein in de From-header, zoals DMARC vereist. Zo komen je geauthenticeerde e-mails door de policy-evaluatie.
Hoe DKIM werkt
DKIM gebruikt een public/private key-paar en DNS, zodat ontvangende servers je e-mails kunnen verifiëren.
Als je mailserver een e-mail verstuurt, maakt die met een private key een cryptografische hash van geselecteerde headers en de inhoud van het bericht. Die hash wordt als DKIM-Signature-header aan de e-mail toegevoegd, samen met metadata zoals het ondertekenende domein (d=) en de selector (s=).
De ontvangende server haalt de selector en het domein uit de handtekening en vraagt in DNS de bijbehorende public key op via selector._domainkey.jouwdomein.nl. Met die public key berekent de server de hash opnieuw en vergelijkt die met de hash in de handtekening. Komen ze overeen, dan slaagt de DKIM-verificatie. Dat bewijst dat de e-mail door de domeineigenaar is geautoriseerd en na het ondertekenen niet is aangepast.
Met selectors kan één domein meerdere DKIM-keys publiceren. Dat is onmisbaar als je externe e-maildiensten gebruikt. Elke dienst kan een eigen selector en key-paar hebben, en je kunt keys roteren zonder andere verzenders te storen. Je eigen mailserver gebruikt bijvoorbeeld de selector default, terwijl je marketingplatform s1 gebruikt of een dienstspecifieke selector zoals google.
Veelvoorkomende DKIM-problemen
Dit zijn de DKIM-problemen die we het vaakst tegenkomen in duizenden domeinscans. Los je ze op, dan verbeteren je deliverability en je beveiliging flink.
Zwakke of 1024-bit keys
Veel domeinen gebruiken nog 1024-bit DKIM-keys die jaren geleden zijn aangemaakt. Die worden steeds kwetsbaarder voor brute-force-aanvallen. Stap over op 2048-bit keys en verwijder de oude records uit DNS.
Ontbrekende externe verzenders
Diensten als Mailchimp, SendGrid of HubSpot versturen e-mail namens jou. Ondertekenen ze met hun eigen domein of heb je DKIM voor ze niet ingesteld, dan falen die berichten voor de DKIM-alignment.
Verouderde of verweesde keys
Als je van ESP wisselt of een dienst uitfaseert, blijven oude DKIM-selectors vaak in DNS staan. Dat is een beveiligingsrisico: iedereen met de bijbehorende private key kan nog steeds e-mail ondertekenen namens je domein.
Kapotte DNS-records
DKIM TXT-records kunnen lang zijn en worden soms verkeerd over meerdere strings verdeeld. Een ontbrekend aanhalingsteken, extra spaties of een afgekapt record laten de verificatie falen met een "no key"-fout.
Veelgestelde vragen over de DKIM-checker
Hoe check ik mijn DKIM-record?
Vul hierboven je domein in. Onze DKIM-checker zoekt in DNS naar gepubliceerde keys en laat zien of er een geldige key is, hoe sterk die is en welke selectors actief zijn. Je kunt een DKIM-handtekening ook handmatig controleren door het TXT-record op selector._domainkey.jouwdomein.nl op te zoeken.
Wat is een DKIM-selector en hoe vind ik die?
Een selector is een label waarmee een domein meerdere DKIM-keys tegelijk kan publiceren, één per verzendende dienst. Je vindt de selector in de s=-tag van de DKIM-Signature-header van elke e-mail die je hebt verstuurd. Je kunt onze checker ook veelgebruikte selectors laten proberen, zoals default, google, selector1, s1 en k1, om ze automatisch te vinden.
Hoe controleer ik of een DKIM-handtekening geldig is?
Een DKIM-handtekening is geldig als de ontvangende server de public key uit DNS kan ophalen en de opnieuw berekende hash overeenkomt met de handtekening. Onze checker bevestigt dat de key aanwezig is, correct wordt ingelezen en voldoet aan het advies van 2048 bits. Dat zijn de voorwaarden om de verificatie te laten slagen.
Waarom faalt mijn DKIM-check?
Veelvoorkomende oorzaken zijn een ontbrekende of verkeerde selector, een TXT-record dat in DNS verkeerd is opgesplitst of is afgekapt, een zwakke 1024-bit key, of een externe verzender die ondertekent maar die je niet hebt ingesteld. De checker wijst aan welke oorzaak van toepassing is, zodat je precies het juiste record kunt repareren.
Bescherm je e-mail met DKIM
Krijg continue DKIM-monitoring, alerts voor keyrotatie en volledige dekking van je e-mailauthenticatie. Het gratis plan omvat 1 domein met alle protocolchecks.