DKIM controleren: de sleutels waarmee een domein zijn e-mail ondertekent

Met DKIM ondertekent een domein zijn e-mail met een sleutel die in de DNS is gepubliceerd, zodat ontvangende servers kunnen controleren of een bericht van dat domein komt en niet is gewijzigd. Elke sleutel staat onder een naam die selector heet. Typ een domein en, als je die kent, de selector; zonder selector proberen we 33 veelgebruikte selectors.

Toevoegen als voorkeursbron Download opGoogle Play Download opApp Store

De selector is de waarde ‘s=’ in de header ‘DKIM-Signature’ van een e-mail die door dat domein is verstuurd. Laat het leeg om de veelgebruikte te proberen.

Zo vind je de selector

Open een e-mail die door dat domein is verstuurd en toon het origineel of de headers (in Gmail: de drie puntjes en dan ‘Origineel tonen’).
Zoek de header ‘DKIM-Signature’: ‘d=’ is het domein en ‘s=’ is de selector, bijvoorbeeld s=selector1.
Typ het domein en de selector en klik op ‘DKIM controleren’. Zonder selector proberen we er 33 veelgebruikte, zoals default, google, selector1 of k1.

Wat elk resultaat betekent

Het domein ondertekent zijn e-mail met DKIM: We hebben de publieke sleutel gevonden: ontvangende servers kunnen controleren of berichten van dit domein komen en onderweg niet zijn gewijzigd.
Er zijn DKIM-sleutels, met waarschuwingen: We hebben minstens één sleutel gevonden, maar sommige zijn ingetrokken, in de testfase of te zwak. De details staan onder elke sleutel.
Geen DKIM-sleutel bij de veelgebruikte selectors: Dat bewijst niet dat het domein geen DKIM heeft: het kan een andere selector gebruiken. Je vindt die in de header ‘DKIM-Signature: s=’ van een e-mail die het domein je heeft gestuurd. Vul hem in bij ‘Selector’ en controleer opnieuw.
Geen DKIM-sleutel bij die selector: Controleer hoe die is geschreven: de selector is de waarde ‘s=’ in de header ‘DKIM-Signature’, en het domein is de waarde ‘d=’.

Wat elk signaal betekent

De sleutel is leeg (p=): deze selector is ingetrokken en ondertekent geen e-mail meer.
De sleutel staat in testmodus (t=y): het domein vraagt ontvangende servers niets te doen als de handtekening niet klopt.
De RSA-sleutel is korter dan 1024 bits: hij kan worden gekraakt en veel ontvangende servers accepteren hem niet.
De RSA-sleutel is 1024 bits: nog geaccepteerd, maar 2048 wordt aanbevolen.
De sleutel staat alleen SHA-1 toe, een oud algoritme dat niet meer als veilig geldt.
Het sleutelrecord bevat een fout en kan niet worden gelezen.
Het sleuteltype is geen RSA of Ed25519, dus ontvangende servers kunnen het niet gebruiken.
Er is geen sleutel bij de selectors die we hebben geprobeerd.

Voor welke landen het werkt

Werkt met domeinen uit elk land. Zonder selector proberen we de standaardselectors van de grote providers (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp en andere) en de gebruikelijke algemene namen, 33 in totaal. Sleutels worden gelezen zoals ontvangende servers dat doen (RFC 6376): RSA en Ed25519.

We lezen de openbare DNS-records van het domein. Als je een e-mailadres of een link invoert, verlaat alleen het domein je browser. Het domein dat je opzoekt, wordt niet opgeslagen.

Veelgestelde vragen

Wat is DKIM?

DomainKeys Identified Mail: de verzendende server ondertekent elke e-mail met een privésleutel en het domein publiceert de publieke sleutel in de DNS. De ontvangende server controleert de handtekening: klopt die, dan komt de e-mail van dat domein en is hij onderweg niet gewijzigd.

Wat is een selector?

De naam waaronder een sleutel wordt gepubliceerd, op selector._domainkey.example.com. Een domein kan er meerdere hebben, één per provider of per sleutelwissel. Hij staat als ‘s=’ in de header ‘DKIM-Signature’ van elke e-mail.

Waarom vindt het geen sleutel terwijl het domein DKIM gebruikt?

Selectors kunnen elke naam hebben en de DNS kan ze niet opsommen. We proberen er 33 veelgebruikte; gebruikt het domein een andere, vul die dan in bij ‘Selector’. Daarom bewijst ‘niet gevonden’ niet dat er geen DKIM is.

Wat betekenen 1024 en 2048 bits?

De grootte van de RSA-sleutel: hoe langer, hoe moeilijker te kraken. 1024 bits wordt nog geaccepteerd, maar 2048 wordt aanbevolen. Onder 1024 negeren veel ontvangende servers de handtekening.