Hoe werkt DKIM?
DomainKeys Identified Mail voegt aan elk uitgaand bericht een digitale handtekening toe. De verzendende server ondertekent met een privésleutel. De bijbehorende publieke sleutel staat in uw DNS. De ontvanger haalt die sleutel op en controleert of de handtekening klopt. Zo ziet hij dat het bericht door een geautoriseerde server is verstuurd en onderweg niet is aangepast.
DKIM in Microsoft 365 activeren
Microsoft 365 ondertekent standaard met het onmicrosoft.com-domein van uw tenant. Voor uw eigen domein zet u DKIM zelf aan. In de Microsoft Defender-portal vindt u onder de instellingen voor e-mailverificatie de DKIM-pagina per domein. Daar staan de twee CNAME-records die u bij uw DNS-provider aanmaakt, met de namen selector1._domainkey en selector2._domainkey. Neem de waarden exact over uit de portal. Zodra de records zichtbaar zijn, schakelt u ondertekening in.
Twee selectors en sleutelrotatie
Microsoft gebruikt twee selectors, zodat sleutels kunnen worden vervangen zonder onderbreking. Bij rotatie wordt de nieuwe sleutel eerst gepubliceerd en daarna in gebruik genomen. Gebruik een sleutellengte van 2048 bits en roteer periodiek, bijvoorbeeld jaarlijks of na een beveiligingsincident.
Vergeet externe verzenders niet
Mail die via een nieuwsbriefdienst, CRM of factuursysteem wordt verstuurd, wordt niet door Microsoft ondertekend. Die diensten moeten zelf met uw domein tekenen. Ze leveren daarvoor eigen DNS-records aan. Tekent een dienst alleen met zijn eigen domein, dan helpt dat niet voor DMARC, omdat het domein in de handtekening niet overeenkomt met uw afzenderdomein.
Controleer het resultaat
Stuur een testbericht naar een extern mailadres en bekijk de berichtkop. Daar ziet u bij dkim=pass met welk domein is ondertekend. Controleer dit voor elke dienst die namens u mailt. De DMARC-rapporten die u daarna ontvangt, laten per bron zien of DKIM slaagt.