DKIMondertekening

DKIMondertekening, kort voor DomainKeys Identified Mail ondertekening, is een methode om uitgaande e-mails cryptografisch te ondertekenen zodat ontvangende mailservers de integriteit en de herkomst kunnen verifiëren. Bij DKIM wordt een digitale handtekening toegevoegd aan de berichtenkop via de DKIM-Signature header. De handtekening is gebaseerd op een private sleutel die bij de verzender in beheer is; de bijbehorende publieke sleutel staat in een DNS TXT-record onder een subdomein zoals selector._domainkey.domein.tld.

Technisch gezien gebruikt DKIM een selectorkey en een domein. In het DNS-record staat onder andere v=DKIM1; k=rsa; p=pubkey. De verzender kiest welke headers meegaan in de handtekening (h=) en hoe de body wordt gecanonicaliseerd (bijv. relaxed of simple). De resulterende hash en signature worden opgenomen in de DKIM-Signature header, waar ook de selector en het domein zijn opgenomen.

Verificatie vindt plaats bij de ontvanger. Die haalt de openbare sleutel op uit DNS via selector._domainkey.domein.tld, berekent de hash over de meegeschreven headers en body, en vergelijkt deze met de ondertekening. Bij een geldige DKIM-ondertekening kan er sprake zijn van alineering met het Signing-domein voor DMARC-beleid.

Implementatie en beheer vereisen zorg voor private/ publieke sleutels, sleutelrotatie en selectie van welke headers worden ondertekend. DKIM werkt samen met SPF en DMARC en biedt authenticatie zonder inhoud te versleutelen, maar kan uitdagingen opleveren bij mailingslijsten en key management.