Wat is DKIM?
DKIM (DomainKeys Identified Mail) is een handtekening die de verzendende server met een privésleutel aan elk bericht toevoegt. De bijbehorende publieke sleutel staat als DNS TXT-record op selector._domainkey.jouwdomein, en ontvangers gebruiken die om te bevestigen dat de ondertekende headers en de body onderweg niet zijn veranderd. RFC 6376 beschrijft het.
De uitkomst lezen
Via DNS kun je niet opvragen welke selectors een domein gebruikt. Deze tool probeert daarom de 21 selectors waarmee bekende providers ondertekenen, en toont elke sleutel die hij vindt: het type, de lengte in bits en of de sleutel is ingetrokken. Onder de 1024 bits is kritiek en onder de 2048 een waarschuwing. Een eigen selector komt hier niet tevoorschijn.
Beat draait op dezelfde engine, volgens een vast schema, over alle 41 checks en 25 blacklists. Wat Beat toevoegt: steeds opnieuw vragen, merken wanneer een antwoord verandert en je vertellen wat je eraan moet doen.
Veelvoorkomende problemen met DKIM-sleutels
Geen sleutel op een bekende selector
Het domein ondertekent niet, of het ondertekent met een eigen selector. De s=-tag in de DKIM-Signature-header van een bericht dat je hebt verstuurd, noemt de echte.
Een sleutel korter dan 2048 bits
RFC 8301 vereist minstens 1024 bits en raadt 2048 aan. Een sleutel van 1024 bits wordt nog steeds geverifieerd, maar is de zwakste van de twee. Stap over op 2048 zodra je provider dat toestaat.
Een ingetrokken sleutel
Een lege p=-tag betekent dat de sleutel bewust is ingetrokken. Elk bericht dat nog met die selector wordt ondertekend, faalt op DKIM.
Een sleutel die niet te lezen is
Lange sleutels worden vaak geplakt met losse aanhalingstekens, spaties of regeleinden, of slecht opgeknipt door een DNS-paneel. Een sleutel die niet te lezen is, faalt precies zoals een ontbrekende.