Spammers versturen graag e-mails die van jouw domein lijken te komen. Met DKIM (DomainKeys Identified Mail) krijgt elke uitgaande e-mail een digitale handtekening. De ontvangende server controleert die handtekening via DNS en weet zo dat de e-mail echt van jouw organisatie komt en onderweg niet aangepast is. In dit artikel activeer je DKIM voor je eigen domein in Microsoft 365.
Waarom DKIM?
- Zonder DKIM op je eigen domein ondertekent Microsoft 365 met het onmicrosoft.com-domein. Dat volstaat niet voor DMARC.
- E-mails met een geldige DKIM-handtekening komen minder snel in spam terecht.
- DKIM is nodig om later een strikt DMARC-beleid in te stellen.
DKIM activeren
- Ga naar security.microsoft.com > E-mail en samenwerking > Beleid en regels > Beleid voor bedreigingen > Instellingen voor e-mailverificatie > tabblad DKIM.
- Klik op je eigen domein. Klik op DKIM-sleutels maken als dat nog niet gebeurd is.
- Je krijgt twee CNAME-records: selector1._domainkey en selector2._domainkey. Kopieer de doelwaarden exact uit de portal.
- Voeg beide records toe bij je DNS-provider.
- Wacht tot de DNS-wijziging zichtbaar is (meestal minder dan een uur) en zet de schakelaar E-mails ondertekenen met DKIM-handtekeningen aan.
Met PowerShell
Verbind met Exchange Online en gebruik New-DkimSigningConfig -DomainName contoso.be -Enabled $false om sleutels te maken, Get-DkimSigningConfig -Identity contoso.be | Format-List Selector1CNAME, Selector2CNAME om de records op te vragen en Set-DkimSigningConfig -Identity contoso.be -Enabled $true om te activeren.
Controleren
Stuur een e-mail naar een extern adres en bekijk de berichtkoppen. Bij Authentication-Results moet dkim=pass staan, met header.d= je eigen domein.
Samen met SPF en DMARC
- SPF: een TXT-record met v=spf1 include:spf.protection.outlook.com -all, aangevuld met andere diensten die namens jou mailen.
- DMARC: start met p=none en rapportage, en ga daarna naar quarantine of reject.
- Vergeet geen diensten zoals je nieuwsbriefsoftware of CRM: ook die hebben eigen DKIM-records nodig.