Vad är DKIM? DomainKeys Identified Mail förklarat (guide 2026)
DKIM lägger en kryptografisk signatur på varje e-postmeddelande din domän skickar, så att mottagande servrar kan bevisa att meddelandet är äkta och oförändrat. Så fungerar det, så sätter du upp det och så går det sönder.
Kör samma kontroll direkt – gratis
Ange din domän och få en 9-punkts audit – DNS, SPF/DKIM/DMARC, SSL, säkerhetsheaders, dark web-exponering – på 60 sekunder.
Ingen registrering · <60s · GDPR/EU-hantering
DKIM (DomainKeys Identified Mail) är en standard för e-postautentisering, definierad i RFC 6376, som fäster en kryptografisk signatur på varje meddelande din domän skickar. Den mottagande e-postservern hämtar din publika nyckel från DNS, räknar om signaturen över meddelandets brödtext och utvalda rubriker och bekräftar två saker: att posten verkligen kom från din domän och att ingen ändrade den på vägen. Skickar du e-post från en egen domän är DKIM inte längre valfritt. Google och Yahoo har krävt det av massutskickare sedan februari 2024, och Microsoft började den 5 maj 2025 avvisa post från högvolymsavsändare som inte uppfyller kraven till Outlook.com, Hotmail.com och Live.com (Microsoft Defender for Office 365-bloggen).
Så fungerar DKIM i praktiken
DKIM är ett signatursystem med publik nyckel lagt ovanpå SMTP. Flödet har fyra steg:
- Du skapar ett nyckelpar. Den privata nyckeln stannar på din utgående e-postserver eller hos din e-postleverantör. Den publika nyckeln publiceras i DNS.
- Servern signerar utgående post. Den hashar brödtexten plus en vald lista rubriker (From, Subject, Date med flera), signerar hashen med den privata nyckeln och lägger in resultatet som en
DKIM-Signature:-rubrik. - Mottagaren hämtar din publika nyckel. Den läser domänen (
d=) och selektorn (s=) ur signaturrubriken och frågar efter en TXT-post på<selektor>._domainkey.<domän>. - Mottagaren verifierar. Den räknar om hashen och jämför med signaturen. Stämmer de är de signerade delarna av meddelandet äkta och oförändrade.
En avgörande skillnad: DKIM överlever vidarebefordran, vilket SPF inte gör. SPF validerar den anslutande IP-adressen och bryts därför så fort en e-postlista eller vidarebefordrare skickar meddelandet vidare. En DKIM-signatur följer med själva meddelandet, vilket är skälet till att DKIM-anpassning oftast är den mer hållbara halvan av en DMARC-policy.
Så är en DKIM-post uppbyggd
En publicerad DKIM-post är en TXT-post i DNS på ett selektorspecifikt värdnamn. Här är ett förkortat exempel för selektorn s1 på example.com, publicerad på s1._domainkey.example.com:
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...
De taggar du oftast stöter på:
| Tagg | Var den finns | Betydelse |
|---|---|---|
v= | DNS-posten | Version, alltid DKIM1 |
k= | DNS-posten | Nyckeltyp: rsa (standard) eller ed25519 |
p= | DNS-posten | Den publika nyckeln i Base64. Tomt p= återkallar nyckeln |
t=y | DNS-posten | Testläge. Mottagare ska inte straffa misslyckanden |
d= | Signaturrubriken | Signerande domän, den som DMARC matchar mot |
s= | Signaturrubriken | Selektor, så att en domän kan ha många nycklar |
h= | Signaturrubriken | Listan över rubriker som signaturen täcker |
bh= | Signaturrubriken | Hash av den kanoniserade brödtexten |
x= | Signaturrubriken | Signaturens utgångstid som Unix-tidsstämpel |
En detalj fäller nästan alla: en publik RSA-nyckel på 2048 bitar är längre än gränsen på 255 byte för en enskild teckensträng i DNS, så den måste publiceras som flera citerade strängar som resolvern sätter ihop. Vissa DNS-paneler gör detta automatiskt, andra inte, och en felaktigt delad nyckel misslyckas utan något synligt felmeddelande.
Så sätter du upp DKIM i fem steg
- Skapa ett RSA-nyckelpar på 2048 bitar, eller låt leverantören göra det. Google Workspace, Microsoft 365, Zoho, Mailgun, SendGrid, Postmark och Amazon SES utfärdar alla nycklar från sina adminkonsoler.
- Välj en beskrivande selektor. Använd en per avsändande system, till exempel
google1ellermg-2026a. Återanvänd aldrig samma selektor i två system. - Publicera TXT-posten på
<selektor>._domainkey.<dindomän>. Vänta på spridning, vilket oftast tar minuter men kan ta upp till zonens TTL. - Aktivera signering i den avsändande plattformen. Att publicera nyckeln utan att slå på signeringen är den vanligaste halvfärdiga DKIM-installationen.
- Verifiera. Fråga posten från en terminal med
dig TXT s1._domainkey.example.com +short, skicka sedan ett testmeddelande till en egen brevlåda och läs rubrikenAuthentication-Results:. Du vill sedkim=pass.
Upprepa detta för varje system som skickar i din domäns namn: e-postvärden, marknadsplattformen, faktureringsverktyget, supportsystemet. Alla behöver egen selektor och egen nyckel.
DKIM mot SPF och DMARC
De tre standarderna kompletterar varandra. DKIM bevisar integritet, SPF godkänner sändvägen och DMARC knyter endera resultatet till den synliga From-adressen och talar om vad mottagaren ska göra vid fel.
| SPF | DKIM | DMARC | |
|---|---|---|---|
| Definierad i | RFC 7208 | RFC 6376 | RFC 7489 |
| Vad som valideras | Avsändande IP-adress | Meddelandets signatur | Matchning mellan SPF/DKIM och From-domänen |
| Överlever vidarebefordran | Nej | Ja | Beror på att DKIM överlever |
| Kryptografi | Ingen | Signatur med publik nyckel | Ingen |
| DNS-poster som krävs | En TXT per domän | En TXT per selektor | En TXT på _dmarc |
| Vanligaste felorsaken | Fler än 10 DNS-uppslag | Saknad eller feldelad nyckel | Ingen mekanism matchar |
| Inbyggd rapportering | Nej | Nej | Ja, aggregerad och forensisk |
DKIM är fortfarande minst utbrett av de tre. En genomsökning av 5,5 miljoner domäner i februari 2026 gav SPF 56,0 %, DMARC 30,4 % och DKIM 22,7 % (DMARCguard-studien). Författarna påpekar att DKIM sannolikt underskattas, eftersom en skanner bara kan pröva vanliga selektorer och inte kan hitta egna.
Nyckellängd, rotation och replay-problemet
Använd RSA med 2048 bitar. RFC 8301 avvecklade signeringsnycklar under 1024 bitar, och NIST SP 800-57 betraktar 2048 bitar som dagens golv för RSA. Nycklar på 1024 bitar verifieras fortfarande hos de flesta mottagare men lever på lånad tid. Att gå till 4096 bitar ger lite och gör DNS-publiceringen krångligare.
Rotera enligt schema. RFC 6376 rekommenderar återkommande rotation utan att ange intervall; M3AAWG:s branschpraxis och de flesta operatörer landar på var sjätte till tolfte månad, eller kvartalsvis i reglerade miljöer. Rotationen är säker om du gör den i rätt ordning: publicera den nya selektorn, signera med den nya nyckeln medan den gamla posten fortfarande ligger kvar, bekräfta godkända resultat i dina DMARC-rapporter och ta först då bort den gamla posten.
Förstå DKIM-replay. I april 2025 utnyttjade en nätfiskekampanj ett äkta signerat Google-meddelande och skickade om det ordagrant till nya offer, så att det kom fram med giltigt dkim=pass från google.com (Red Sifts analys). Inget i signaturen var förfalskat. Attacken fungerar eftersom en DKIM-signatur inte säger något om vem som skickade meddelandet eller till vem. Två praktiska motmedel: översignera de rubriker som betyder något genom att lista dem i h=-taggen fler gånger än de förekommer, vilket hindrar en angripare från att lägga till en extra To: eller Subject:, och sätt kort giltighetstid med x=-taggen för att krympa replay-fönstret.
Vanliga DKIM-fel och vad de beror på
| Symtom | Trolig orsak | Åtgärd |
|---|---|---|
dkim=none i rubrikerna | Signering är inte påslagen hos avsändaren | Aktivera DKIM i plattformen, inte bara i DNS |
dkim=permerror | Posten saknas eller p= är feldelad | Publicera om som delade citerade strängar |
dkim=fail bara på vidarebefordrad post | En lista eller gateway skrev om brödtext eller signerad rubrik | Be vidarebefordraren använda ARC, eller förlita dig på SPF-matchning för den vägen |
| Godkänt för ett system, underkänt för ett annat | En avsändarkälla saknar egen selektor | Lägg till en egen nyckel per källa |
DMARC misslyckas trots dkim=pass | d=-domänen matchar inte From-domänen | Signera med din egen domän, inte leverantörens |
Vanliga frågor
Krypterar DKIM min e-post? Nej. DKIM signerar, det krypterar inte. Den som fångar upp meddelandet kan fortfarande läsa det. Transportkryptering är TLS, och innehållskryptering är S/MIME eller PGP.
Kan jag ha fler än en DKIM-post? Ja, och det bör du oftast. Varje selektor är en egen post, så en domän kan bära en nyckel för varje avsändande plattform du använder.
Stoppar DKIM ensamt förfalskad avsändare?
Nej. En giltig signatur visar att någon domän signerade meddelandet, men mottagaren agerar bara på det om en DMARC-policy säger till. DKIM plus DMARC på p=quarantine eller p=reject är det som faktiskt blockerar förfalskad post.
Vad händer om jag raderar en DKIM-nyckel?
Meddelanden som fortfarande är på väg och signerades med den kommer att underkännas. Vill du återkalla medvetet publicerar du posten med tomt p= i stället för att radera den, så ser mottagarna en uttrycklig återkallelse.
Är Ed25519 redo att användas? Ed25519-signering är standardiserad i RFC 8463 och ger betydligt kortare DNS-poster, men stödet hos verifierare är fortfarande ojämnt. Dubbelsignera med RSA-2048 vid sidan av i stället för att byta rakt av.
Relaterade guider
- Så konfigurerar du DMARC steg för steg
- SPF-kontroll: så testar, läser och fixar du din SPF-post
- DNS-säkerhetskonfiguration: SPF, DMARC, DNSSEC och CAA förklarade
Kontrollera din DKIM på 60 sekunder
De flesta trasiga DKIM-uppsättningar ser felfria ut i adminkonsolen och avslöjar sig först i rubrikerna på levererad post. FortifyNets gratisskanning läser din live-DNS och rapporterar SPF, DKIM och DMARC tillsammans, jämte din SSL/TLS-konfiguration, säkerhetsheaders och exponering på dark web. Ingen registrering krävs. Kör en gratis skanning av din domän och se vad mottagarna faktiskt ser.
