DKIM: signatur som viser at e-posten er ekte

Hva er DKIM?

DKIM står for DomainKeys Identified Mail og er beskrevet i RFC 6376. Tenk på det som et segl. E-postsystemet deres har en privat nøkkel som bare det kjenner, og bruker den til å signere viktige deler av hver melding: avsender, mottaker, emne, dato og selve teksten.

Den tilhørende offentlige nøkkelen ligger i DNS. Mottakeren henter den, sjekker signaturen, og vet to ting: meldingen er signert av et domene som har tilgang til den private nøkkelen, og de signerte delene er ikke endret.

Signaturen ligger i en overskrift i meldingen som heter DKIM-Signature. Der står d= for domenet som signerte og s= for selectoren, altså hvilken nøkkel som ble brukt.

Hva er en selector?

Et domene kan ha flere DKIM-nøkler samtidig, for eksempel en for e-postleverandøren og en for nyhetsbrevtjenesten. Selectoren er navnet på nøkkelen. Nøkkelen ligger i DNS på adressen selector._domainkey.domenet.no.

Selectoren velges av den som setter opp signeringen, og standarden sier at navnet kan være nesten hva som helst. Eksemplene i RFC 6376 er navn på kontorsteder og måneder. I praksis bruker leverandørene faste navn.

Hver leverandør bruker sine egne navn. Microsoft 365 bruker selector1 og selector2. Google Workspace bruker google som standard, men en administrator kan velge et annet. Nyhetsbrev- og nettbutikktjenester har sine egne, og de oppgis i leverandørens veiledning.

Type:   CNAME eller TXT, avhengig av leverandør
Navn:   selector1._domainkey
Verdi:  (oppgis av leverandøren, kopieres uendret)

Hvorfor en sjekk ikke alltid finner DKIM

DNS har ingen funksjon for å liste opp alle oppføringer under _domainkey. Selectorene er heller ikke noe en utenforstående kan se. En sjekk kan bare gjette på kjente navn, for eksempel selector1, selector2 og google, og slå dem opp én og én.

Det betyr at en sjekk som ikke finner DKIM, ikke alltid har bevist at DKIM mangler. Dere kan bruke en selector som ingen sjekk kjenner. Omvendt gjelder: finner sjekken en nøkkel, vet dere at den finnes, men ikke at e-posten faktisk signeres. Leverandøren må også ha slått signering på.

Den sikre testen er å lese en ekte melding. Send en e-post til en Gmail-adresse, åpne den, velg «Vis original» og se etter linjen DKIM med PASS og domenet dere forventer. Selectoren står i overskriften DKIM-Signature som s=.

Ifølge egen måling 6. oktober 2026 av 928 norske e-postdomener manglet omtrent 4 av 10 Microsoft 365-domener oppføringen selector1. Det er et minimumstall, men det forteller at mange aldri har slått på DKIM for eget domene, selv om Microsoft 365 er det mest brukte e-postsystemet.

Nøkkellengde: 2048 bit

DKIM-nøkler er RSA-nøkler. RFC 6376 sier at de som signerer, skal bruke minst 1024 bit. Google og Yahoo krever også minst 1024 bit fra avsendere. Google anbefaler 2048 bit når leverandøren støtter det.

Velg 2048 bit der dere får velge. I Google Admin kan dere velge mellom 1024 og 2048. En lengre nøkkel er vanskeligere å knekke, men gir en lengre DNS-oppføring. Lim inn hele verdien nøyaktig slik leverandøren viser den.

Hos Microsoft 365 publiserer dere to CNAME-oppføringer som peker til Microsofts nøkler, så leverandøren holder nøklene selv. Se guiden for Microsoft 365.

DKIM og DMARC: domenet må passe

En DKIM-signatur kan ha et annet domene enn det som vises i «Fra»-feltet. Mange e-posttjenester signerer først med sitt eget domene. For at DKIM skal telle for DMARC, må domenet i signaturen (d=) være det samme som i «Fra»-feltet, eller et underdomene av det. Det kalles alignment.

Det betyr at hver tjeneste som sender i deres navn, må settes opp til å signere med deres domene. En nyhetsbrevtjeneste som bare signerer med sitt eget domene, består DKIM, men ikke DMARC for dere.

DKIM kan også brytes. Signaturen er bare gyldig så lenge de signerte delene er uendret. Tjenester som endrer innholdet underveis, som enkelte videresendere og e-postlister, kan gjøre signaturen ugyldig.

Slik kommer dere i gang

1. Finn ut hvilke tjenester som sender i deres navn.
2. Slå på DKIM hos e-postleverandøren. Se guidene for Microsoft 365 og Google Workspace.
3. Gjør det samme hos nyhetsbrev, nettbutikk og andre som støtter det.
4. Send en test til Gmail og les «Vis original». Se at d= er deres domene.

Sjekk domenet

Sjekk domenet deres på forsiden for å se hvilke kjente selectorer som er publisert. Husk at en sjekk bare finner navn den kjenner.

Vanlige spørsmål