DKIM
En digital signatur på udgående mail, der viser, hvilket domæne der står bag, og at mailen ikke er ændret undervejs.
Kort svar
DKIM (DomainKeys Identified Mail) sætter en digital signatur på udgående mail. Mailsystemet signerer med en hemmelig nøgle, og den tilhørende offentlige nøgle ligger i domænets DNS, så modtageren kan kontrollere signaturen. En gyldig signatur viser, at det signerende domæne tager ansvar for mailen, og at de signerede dele ikke er ændret siden afsendelsen. DKIM virker bedst sammen med SPF og DMARC.
- Mailen signeresMailsystemet beregner en signatur over udvalgte felter og indhold med en privat nøgle.
- Signaturen følger medSignaturen lægges i et DKIM-Signature-felt med domæne (d=) og selector (s=).
- Nøglen hentesModtageren slår den offentlige nøgle op i DNS under selector._domainkey.domæne.
- KontrolPasser signaturen, er de signerede dele uændrede, og domænet står bag.
Selector, nøgler og DNS
Signaturen indeholder to vigtige oplysninger: det signerende domæne (d=) og en selector (s=), der fortæller, hvilken nøgle der er brugt. Modtageren finder den offentlige nøgle i DNS under navnet selector._domainkey.firma.dk. Fordi et domæne kan have flere selectors, kan flere tjenester signere for det samme domæne – hver med sin egen nøgle.
I Microsoft 365 signeres mail fra det indbyggede onmicrosoft.com-domæne automatisk. For jeres eget domæne skal I oprette to CNAME-poster (selector1 og selector2) i DNS og derefter slå DKIM-signering til. De to selectors gør det muligt at skifte nøgle (nøglerotation) uden afbrydelse.
Vær opmærksom: Uden egen DKIM-opsætning signerer Microsoft 365 med onmicrosoft.com-domænet. Den signatur passer ikke med jeres eget domæne i Fra-adressen og hjælper derfor ikke DMARC.
Hvad DKIM beviser – og hvad det ikke beviser
En gyldig DKIM-signatur viser to ting: at det signerende domæne har taget ansvar for mailen, og at de signerede dele ikke er ændret undervejs.
DKIM siger derimod intet om, hvorvidt afsenderen er til at stole på. Og det signerende domæne behøver ikke at være det samme som domænet i den Fra-adresse, modtageren ser. En svindler kan signere med sit eget domæne og samtidig skrive jeres navn i Fra-feltet. Derfor skal DKIM kombineres med DMARC, som kræver, at domænerne passer sammen.
DKIM krypterer heller ikke indholdet. Mailen kan stadig læses af den, der opsnapper den – kryptering af selve forbindelsen er en anden sag, se SSL/TLS.
DKIM og SPF supplerer hinanden
Fordi signaturen følger med selve mailen, består DKIM typisk også, når mailen videresendes automatisk – hvor SPF ofte fejler. Til gengæld kan signaturen brydes, hvis en mellemstation ændrer indholdet, fx en mailingliste, der tilføjer en tekst nederst.
| SPF | DKIM | |
|---|---|---|
| Hvad tjekkes | Om afsenderserveren er godkendt | Om signaturen er gyldig |
| Ligger i DNS som | Én TXT-post på domænet | Offentlig nøgle pr. selector |
| Overlever videresendelse | Typisk nej | Ja, hvis indholdet ikke ændres |
| Ser på synlig Fra-adresse | Nej | Nej – det gør DMARC |
Alle systemer, der sender for jer, skal signere
Det er ikke nok, at Microsoft 365 signerer. Nyhedsbrevssystem, økonomisystem, webshop og andre tjenester, der sender mail med jeres domæne, skal også signere med jeres domæne (eller et subdomæne) – ellers kan deres mails fejle DMARC, når I strammer politikken.
Eksempel: Fakturaer fra jeres økonomisystem signeres med systemleverandørens eget domæne. SPF og DKIM består hver for sig, men DMARC fejler, fordi ingen af dem passer med firma.dk. Løsningen er at oprette de DKIM-poster, leverandøren oplyser, så fakturaerne signeres med jeres domæne.
Nøglelængde og nøgleskift
Google kræver DKIM-nøgler på mindst 1024 bit og anbefaler 2048 bit. Microsoft 365 understøtter begge. Ligesom adgangskoder bør nøgler skiftes med jævne mellemrum; i Microsoft 365 sker det ved at rotere mellem de to selectors.
Spørgsmål I kan stille
- Signeres mail fra vores eget domæne – eller kun fra onmicrosoft.com-domænet?
- Hvilke andre systemer sender mail i vores navn, og signerer de med vores domæne?
- Hvor lange er vores DKIM-nøgler, og hvornår blev de sidst skiftet?
- Har vi DMARC, så DKIM faktisk bliver brugt til at afvise forfalskede mails?
Hvornår giver det mening at få hjælp?
Det giver mening at få hjælp, når DKIM skal aktiveres for jeres eget domæne i Microsoft 365, eller når flere systemer sender mail i jeres navn og skal signere korrekt, før I strammer DMARC.
Spørgsmål og svar
Hvordan ved vi, om vores mails er signeret med DKIM?
Prøv vores gratis værktøj Tjek maildomæne, eller kig efter dkim=pass og header.d=jeres domæne i mailens kildetekst (Authentication-Results). Vi hjælper også gerne med at tjekke det.
Er DKIM nok alene?
Nej. DKIM virker bedst sammen med SPF og DMARC. Først DMARC kobler signaturen sammen med den Fra-adresse, modtageren ser.
Kommer vores mails så ikke i spam?
DKIM gør det lettere for modtagerne at vurdere jeres mails og er et krav hos fx Gmail for afsendere med store mængder mail. Men det er ingen garanti: Spamfiltre ser også på indhold, omdømme og modtagernes reaktioner.
Kilder (tjekket 31. oktober 2026)
- RFC 6376: DomainKeys Identified Mail (DKIM) Signatures – IETF/RFC Editor
- How to use DKIM for email in your custom domain – Microsoft Learn
- How email authentication works in Microsoft 365 – Microsoft Learn
- Connect your domain by adding DNS records – Microsoft Learn
- Email sender guidelines – Gmail Help (Google)