DKIM (DomainKeys Identified Mail)
Een digitale handtekening op uitgaande mail, geverifieerd tegen een publieke sleutel in DNS, die bewijst dat het bericht niet is gewijzigd en echt van het ondertekenende domein komt.
DKIM ondertekent elk uitgaand bericht met een privésleutel die op de verzendende server staat. De bijbehorende publieke sleutel wordt in DNS gepubliceerd op <selector>._domainkey.<domain>. De ontvangende server haalt die op, controleert de handtekening, en weet dat het bericht via een server met die sleutel is verzonden en sindsdien niet is aangepast.
De selector is een naam waarmee een domein meerdere sleutels tegelijk kan publiceren, bijvoorbeeld één per mailprovider of één per jaar. Het ondertekende bericht draagt de selector mee in zijn DKIM-Signature-header (de s=-tag), zodat de ontvanger weet welke sleutel hij moet ophalen.
Anders dan SPF overleeft DKIM doorsturen: de handtekening reist met het bericht mee. Het is de sterkste van de twee voor DMARC-alignment, en degene die u als eerste werkend wilt hebben. Sleutels moeten 2048-bit RSA of Ed25519 zijn, en ze eens per jaar roteren is een goede gewoonte.