DKIM Generator
Maak een DKIM-sleutelpaar en het exacte TXT-record om te publiceren in uw DNS.
Hoe u DKIM instelt met de gegenereerde sleutel
- Voer uw domeinnaam en een selector in, kies een sleutellengte en klik op "DKIM-sleutels genereren".
- Maak bij uw DNS-provider een TXT-record aan. Gebruik de bovenstaande recordnaam (selector._domainkey of de volledige FQDN) en plak de TXT-waarde.
- Installeer de privésleutel in de DKIM-ondertekeningsinstellingen van uw mailserver, met dezelfde selector en hetzelfde domein.
- Stuur een testbericht naar een persoonlijk Gmail-account en open "Origineel weergeven". Naast DKIM moet PASS staan.
Slaagt de verificatie niet? Controleer of het DNS-record volledig is gepubliceerd en of de selector op de server exact overeenkomt met die in DNS. Lees voor het samenspel tussen SPF, DKIM en DMARC onze uitleg over SPF, DKIM en DMARC.
Een selector en sleutellengte kiezen
De selector is slechts een label: kies een herkenbare naam. Een selector met datum zoals s2026a maakt bij sleutelrotatie direct duidelijk welke sleutel actief is. Toegestaan zijn letters, cijfers en koppeltekens.
Voor de sleutellengte is 2048 bits de veilige standaard. Gmail vereist minimaal 1024 bits en adviseert 2048 bits. RFC 8301 schrijft voor dat verzenders minimaal 1024 bits moeten gebruiken en 2048 bits zouden moeten toepassen. Hoewel ontvangers sleutels tot 4096 bits moeten ondersteunen, leveren 4096-bits records in sommige DNS-beheerpanelen problemen op; kies daarom voor 2048 bits.
Wat staat er in een DKIM-record
| Tag | Betekenis | Voorbeeld |
|---|---|---|
| v | Versie van het protocol. Optioneel, maar indien aanwezig moet deze vooraan staan | v=DKIM1 |
| k | Sleuteltype. rsa is de standaardwaarde | k=rsa |
| p | De openbare sleutel in base64-codering. Een lege p= betekent dat de sleutel is ingetrokken | p=MIIBIjAN... |
| t | Vlaggen (flags). y betekent testmodus, s verbiedt gebruik voor subdomeinen | t=y |
Er bestaan nog drie aanvullende tags (h voor hash-algoritmen, n voor notities en s voor servicetype), maar deze zijn zelden nodig.
Waarom lange DKIM-records gesplitst worden
Een 2048-bits openbare sleutel telt na base64-codering ongeveer 390 tekens. DNS slaat TXT-gegevens op in tekenreeksen van maximaal 255 tekens (RFC 1035). Een sleutel van deze lengte moet daarom worden gepubliceerd in twee of meer afzonderlijke strings tussen aanhalingstekens, die ontvangende servers samenvoegen voordat ze de handtekening controleren. De meeste DNS-panelen splitsen de invoer automatisch bij het plakken van één lange regel. Het BIND-zoneformaat is bedoeld voor directe bewerking van zonebestanden.
DKIM-sleutels roteren
Om sleutels veilig te vernieuwen zonder verzendproblemen, genereert u een nieuw sleutelpaar met een nieuwe selector en publiceert u het DNS-record naast het oude record. Configureer uw mailserver om met de nieuwe selector te ondertekenen en verwijder het oude record pas wanneer alle eerder verzonden e-mails zijn afgeleverd.
Veelgestelde vragen
Het sleutelpaar wordt rechtstreeks gegenereerd via de ingebouwde Web Crypto API van uw browser. De privésleutel wordt nooit naar onze servers of derden verzonden. Wij kunnen deze niet herstellen, download het sleutelbestand dus voordat u de pagina verlaat.
Uitsluitend op uw eigen mailserver in de DKIM-configuratie. Publiceer de privésleutel nooit in DNS en deel deze nooit per e-mail. Alleen de openbare sleutel in de TXT-waarde wordt gepubliceerd.
Kies voor 2048 bits, tenzij uw DNS-provider lange records niet ondersteunt. Gmail accepteert 1024 bits als minimum maar raadt 2048 bits aan, en RFC 8301 adviseert verzenders minimaal 2048 bits te gebruiken.
Elke string in een DNS TXT-record mag maximaal 255 tekens bevatten, en een 2048-bits sleutel is langer. Ontvangende servers voegen de strings automatisch weer samen tijdens de handtekeningcontrole.
Veel moderne mailservers accepteren het standaard PKCS#8 formaat (BEGIN PRIVATE KEY). Vraagt uw software om BEGIN RSA PRIVATE KEY, kies dan het PKCS#1 formaat; dit is dezelfde sleutel in klassieke notatie.
Stuur een e-mail vanaf uw server naar een Gmail-adres, open het bericht en kies "Origineel weergeven". In de verificatieregels moet bij DKIM de status PASS staan voor uw domein.
Nee. Zowel Google Workspace als Microsoft 365 maken hun eigen DKIM-sleutels aan binnen hun beheerconsole. Deze generator is bedoeld voor eigen servers waarop u zelf de ondertekeningssleutels beheert.
DKIM geregeld? Controleer nu uw e-maillijst.
1.000 gratis credits, zonder creditcard.