PRAKTISK GUIDE · DKIM

Find den DKIM-selector, din mailudbyder faktisk bruger.

Et DKIM-tjek kræver både signeringsdomænet og navnet på den relevante selector. Et opslag efter en tilfældig standardselector kan overse en korrekt opsætning. Find oplysningerne hos mailudbyderen eller i headeren på en kontrolleret testmail.

1. Se headeren på en testmail

Send en testmail fra det system, du undersøger, til en konto, du selv kontrollerer. Åbn mailens originale header i din mailklient. Find feltet DKIM-Signature. Feltet d= angiver signeringsdomænet, og s= angiver selector. Dette er defineret i DKIM-standarden, RFC 6376.

ILLUSTRATIVT EKSEMPEL · SYNTETISKE DATA

Fra header til DNS-navn

Et ufuldstændigt, syntetisk uddrag af en header:

DKIM-Signature: ...; d=kunde.example; s=mail2026; ...

Her er signeringsdomænet kunde.example, og selector er mail2026. Den offentlige nøgle findes via:

mail2026._domainkey.kunde.example

Navnene er opdigtede og viser ikke en rigtig mail eller kunde. Headeruddraget kan ikke bruges som en gyldig signatur.

2. Brug oplysningerne for det rigtige system

En virksomhed kan sende fra flere systemer med forskellige selectors og signeringsdomæner. Gentag kontrollen for de relevante mailtjenester. En signatur kan bruge udbyderens domæne i stedet for kundens; brug det faktiske d=-domæne, når du undersøger den nøgle.

Mailudbyderens administration kan også vise de krævede DNS-navne. Microsoft 365 kan eksempelvis bruge CNAME-records til DKIM. Kopiér de aktuelle værdier fra din egen udbyder frem for at gætte ud fra et andet domæne. Se Microsofts officielle DKIM-vejledning.

3. Fortolk et manglende resultat korrekt

Et manglende svar for default._domainkey beviser ikke, at DKIM mangler. Den anvendte selector kan have et andet navn, nøglen kan være ændret, eller opslaget kan være utilgængeligt. Mangler en DKIM-Signature helt i testmailen, så undersøg signering i det afsendende system sammen med udbyderen.

4. Brug selector i ApiVect

Indtast de kendte selectors i domænetjekket for det domæne, der matcher signaturens d=. Uden selectors undersøger ApiVect kun default, og manglende nøgle dér giver ikke en sikker konklusion om DKIM.

Et konfigurationstjek undersøger den offentlige nøgle. Det validerer ikke testmailens faktiske signatur og garanterer ikke maillevering. Til løbende kontrol af domæner, du kan verificere ejerskab til, kan du bruge et separat Domain Watch-abonnement.

Se Domain Watch til webbureauer →

Gennemgå SPF- og DMARC-ændringer · Hent opsætningstjeklisten