# Hoe stel ik DKIM in voor een eigen e-maildomein? > DKIM vraagt 3 CNAME-records bij Proton Mail en Fastmail en 4 bij Mailbox.org, gepubliceerd onder _domainkey; kopieer de waarden van uw provider. - URL: https://postelva.com/nl/guides/dkim-setup/ - Laatst bijgewerkt: 2026-11-12 - Uitgever: Postelva (https://postelva.com) DKIM stelt u in via het beheerscherm van uw provider en publiceert u in uw DNS. Het werk bestaat uit het exact kopiëren van de records. **Snel antwoord — Hoe stel ik DKIM in voor een eigen e-maildomein?** Open de domeininstellingen van uw e-mailprovider, kopieer de DKIM-records die hij toont en publiceer ze in uw DNS onder de _domainkey-naam: drie CNAME-records voor Proton Mail en Fastmail, vier voor Mailbox.org. **Postelva** host ze in zijn gratis DNS-editor en het ondertekenen begint zodra de provider de records detecteert. ## DKIM-records van drie providers *Gelezen op helppagina's van providers op 12 november 2026. De doelen van Proton Mail zijn uniek voor uw domeinnaam: kopieer ze van het DKIM-tabblad. Tuta, iCloud+, Migadu en Zoho Mail: kopieer de records uit het installatiescherm van de provider.* | Provider | Dossiers | Namen (host) | Wijst naar | | --- | --- | --- | --- | | Proton Mail | 3 CNAME | protonmail._domainkey, protonmail2._domainkey, protonmail3._domainkey | Een doel onder domains.proton.ch, uniek voor uw domeinnaam | | Mailbox.org | 4 CNAME | MBO0001._domainkey tot MBO0004._domainkey | MBO0001._domainkey.mailbox.org enzovoort tot MBO0004 | | Fastmail | 3 CNAME | fm1._domainkey, fm2._domainkey, fm3._domainkey | fm1.yourdomain.dkim.fmhosted.com, fm2 en fm3 op dezelfde manier | *Laatst gecontroleerd op 12 november 2026; oudere cijfers dragen hun eigen datum.* ## DKIM instellen in vijf stappen 1. **Open het DKIM-tabblad van uw provider** — Bij Proton Mail is dat Settings, Organization, Domain names en dan het DKIM-tabblad van de domeinnaam. Bij Fastmail en Mailbox.org staan de records in de domeininstellingen. 2. **Kopieer elke naam en elk doel** — Kopieer ze exact. Typ ze niet over: één verkeerd teken in een doel maakt de sleutel onleesbaar. 3. **Voeg de records toe in de DNS-editor** — Maak per regel één CNAME-record aan, met de host die de provider opgeeft. Als uw DNS-editor de domeinnaam zelf toevoegt, voer dan alleen het deel ervoor in. 4. **Wacht en vraag de provider dan te verifiëren** — Klik op de knop voor verifiëren of opnieuw controleren van de provider. Een nieuw record kan enkele minuten tot enkele uren nodig hebben om overal zichtbaar te zijn. 5. **Stuur een testbericht en lees het resultaat** — Stuur een bericht naar een adres bij een andere provider, open de volledige headers en zoek naar dkim=pass. Ga daarna door naar het DMARC-record. *DKIM-CNAME-records: patronen van Fastmail en Mailbox.org* ```dns ; Fastmail (replace example.com with your domain) fm1._domainkey.example.com. IN CNAME fm1.example.com.dkim.fmhosted.com. fm2._domainkey.example.com. IN CNAME fm2.example.com.dkim.fmhosted.com. fm3._domainkey.example.com. IN CNAME fm3.example.com.dkim.fmhosted.com. ; Mailbox.org MBO0001._domainkey.example.com. IN CNAME MBO0001._domainkey.mailbox.org. MBO0002._domainkey.example.com. IN CNAME MBO0002._domainkey.mailbox.org. MBO0003._domainkey.example.com. IN CNAME MBO0003._domainkey.mailbox.org. MBO0004._domainkey.example.com. IN CNAME MBO0004._domainkey.mailbox.org. ``` ## Hoe werkt DKIM? **Met DKIM ondertekent de verzendende server elk bericht met een privésleutel en kan elke ontvanger de handtekening controleren met een publieke sleutel die in DNS is gepubliceerd.** De handtekening staat in een DKIM-Signature-header. Hij bevat het ondertekenende domein (d=), de selector (s=), de ondertekende headers (h=), een hash van de body (bh=) en de handtekening zelf (b=). RFC 6376, een Internet Standard, definieert deze tags. De ontvanger bouwt de DNS-naam op uit de selector en de domeinnaam: selector._domainkey.domain. Voor de selector fm1 en de domeinnaam example.com vraagt hij om fm1._domainkey.example.com. Het antwoord is een record met de tags v=DKIM1, k=rsa en p= gevolgd door de publieke sleutel in base64. Een lege p= betekent dat de sleutel is ingetrokken. Een geldige handtekening bewijst twee dingen: het bericht is ondertekend door een systeem dat de privésleutel voor die domeinnaam bezit en de ondertekende delen zijn onderweg niet veranderd. Ze zegt niet dat het bericht gewenst is. Dat oordeel is aan DMARC, behandeld in [SPF vs DKIM vs DMARC](https://postelva.com/nl/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?"). ## Waarom vragen providers om CNAME-records in plaats van een sleutel? **Een CNAME draagt de sleutel over aan de provider: de publieke sleutel blijft op het adres van de provider en de provider kan hem vervangen zonder u te vragen de DNS te bewerken.** Proton Mail, Fastmail en Mailbox.org gebruiken dit patroon allemaal. Hun records zijn CNAME's van uw selectornaam naar een host die zij beheren en die het eigenlijke sleutelrecord bevat. Het voordeel is sleutelrotatie. RFC 6376 raadt aan nieuwe sleutels onder nieuwe selectors te publiceren in plaats van een selector te hergebruiken, en Proton Mail publiceert drie selectors (protonmail, protonmail2, protonmail3), wat de provider ruimte geeft om van de ene sleutel naar de volgende over te stappen. De prijs voor u is vertrouwen: u vertrouwt erop dat de host van de provider blijft antwoorden. Volgens de vergelijking van Postelva van 12 november 2026 hebben de drie providers van wie de DKIM-records op hun helppagina's zijn gelezen respectievelijk 3, 4 en 3 CNAME-records nodig, 10 in totaal, en geen enkele vraagt om een TXT-sleutel. ## Hoe lang moet de DKIM-sleutel zijn? **Gebruik een RSA-sleutel van 2048 bit; 1024 bit is het minimum dat RFC 6376 toestaat voor langlevende sleutels.** De standaard zegt dat ondertekenaars RSA-sleutels van minstens 1024 bit moeten gebruiken en dat verificateurs sleutels van 512 tot 2048 bit moeten kunnen controleren. De richtlijnen voor afzenders van Google vragen om minstens 1024 bit en bevelen 2048 aan. Wanneer de provider de sleutel aanmaakt, zoals bij de CNAME-opzet hierboven, is de lengte zijn keuze en hoeft u niets in te stellen. Als u zelf een grootte moet kiezen, kies dan 2048. Een sleutel van 2048 bit is langer dan één string van 255 tekens in DNS, dus de TXT-waarde wordt over meerdere strings verdeeld, wat de meeste DNS-editors zelf doen. Dezelfde limiet van de editor geldt voor het SPF-record dat is beschreven in [hoe u een SPF-record aanmaakt](https://postelva.com/nl/guides/spf-record-setup/ "How to create an SPF record for a custom domain"). ## Kan ik meerdere providers op één domeinnaam gebruiken? **Ja: elke provider ondertekent met zijn eigen selector, dus hun DKIM-records botsen niet.** De selector is de reden. Proton gebruikt protonmail, protonmail2 en protonmail3; Fastmail gebruikt fm1, fm2 en fm3; Mailbox.org gebruikt MBO0001 tot MBO0004. Een nieuwsbrieftool die in uw naam verzendt, voegt een eigen selector toe. SPF is anders: dat bevat één record voor alle afzenders, met een limiet van 10 opzoekingen. Als u een provider definitief verlaat, verwijder dan zijn DKIM-records nadat u hebt bevestigd dat de nieuwe ondertekent, zodat een verlaten sleutel niet kan worden gebruikt door iemand die toegang krijgt tot het oude account. Zie voor de volledige volgorde van een migratie [hoe u e-mail naar een nieuwe provider verhuist zonder e-mail te verliezen](https://postelva.com/nl/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail"). ## Hoe controleer ik dat DKIM werkt? **Zoek de selector op met dig en stuur dan een echt bericht.** De opdracht dig CNAME fm1._domainkey.example.com +short moet het doel van de provider tonen. Vraag voor een TXT-sleutel in plaats daarvan om TXT. De doorslaggevende test is een bericht: de headers van de ontvangen kopie laten zien of de ontvangende server dkim=pass heeft vastgelegd. Als het record correct is en de controle toch mislukt, zijn de gebruikelijke oorzaken een verkeerde hostnaam (de domeinnaam door de DNS-editor tweemaal toegevoegd), een verouderde cache of een bericht dat is verstuurd voordat de provider het ondertekenen activeerde. De volgende gids, [hoe u MX-, SPF-, DKIM- en DMARC-records controleert](https://postelva.com/nl/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"), noemt de opdrachten. De Fastmail-stappen staan volledig in de [gids voor een eigen domeinnaam bij Fastmail](https://postelva.com/nl/guides/fastmail-custom-domain-setup/ "How to set up Fastmail with a custom domain"). ## Vragen over het instellen van DKIM ### Wat is een DKIM-selector? Een selector is een label dat de ondertekenaar kiest en dat één sleutel aanduidt, zoals fm1 of protonmail. Hij laat een domeinnaam meerdere sleutels tegelijk houden en ze zonder downtime roteren. ### Heb ik DKIM nodig als ik al SPF heb? Ja. SPF breekt wanneer een bericht wordt doorgestuurd, terwijl een DKIM-handtekening overleeft als het bericht niet wordt gewijzigd. De regels van Gmail voor bulkafzenders vragen om beide. ### Waarom weigert mijn DNS-editor een record dat met een underscore begint? Namen met een underscore, zoals _domainkey, zijn geldig in DNS, ook al zijn het geen geldige hostnamen. Voer de host exact in zoals de provider hem toont, zonder de domeinnaam tweemaal toe te voegen. ### Kan ik de DKIM-selector wijzigen? De provider bepaalt hem. Mailbox.org gebruikt MBO0001 tot MBO0004, Fastmail fm1 tot fm3 en Proton Mail protonmail tot protonmail3. Laat de namen ongewijzigd. ### Versleutelt DKIM het bericht? Nee. Het ondertekent het bericht om herkomst en integriteit te bewijzen en verbergt de inhoud niet. **Samengevat** - DKIM ondertekent elk bericht; de publieke sleutel staat bij selector._domainkey.domain. - Proton Mail en Fastmail hebben 3 CNAME-records nodig, Mailbox.org 4. - Kopieer namen en doelen exact uit het scherm van de provider; de doelen van Proton Mail zijn uniek voor uw domeinnaam. - RFC 6376 vereist dat ondertekenaars RSA-sleutels van minstens 1024 bit gebruiken; 2048 wordt aanbevolen. - Elke provider gebruikt zijn eigen selectors, dus meerdere kunnen voor één domeinnaam ondertekenen. - Test met dig en een echt bericht dat dkim=pass toont. - Postelva host de records in gratis DNS; een .com kost elk jaar US$ 12,49/jaar. ## Bronnen 1. [RFC 6376, DomainKeys Identified Mail (DKIM) Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (gelezen op 2026-11-12) 2. [Richtlijnen voor e-mailafzenders](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (gelezen op 2026-11-12) 3. [Eigen domeinnaam en bescherming tegen spoofing](https://proton.me/support/anti-spoofing-custom-domain) — Proton (gelezen op 2026-11-12) 4. [SPF, DKIM en DMARC voor een eigen domeinnaam](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (gelezen op 2026-11-12) 5. [Fastmail-DNS-hulp](https://www.fastmail.help/hc/en-us/articles/360060591153) — Fastmail (gelezen op 2026-11-12) --- Postelva: Postelva registreert domeinnamen voor privé-e-mail — het adres dat u behoudt als u van provider wisselt — betaald in crypto zonder KYC: geen ID, alleen één geverifieerd e-mailadres per domeinnaam. Postelva wordt beheerd door DomaineGoat LLC, een bedrijf geregistreerd in Panama; domeinnamen worden geregistreerd via de door ICANN geaccrediteerde registrarpartner. Een .com kost US$ 12,49/jaar, elk jaar dezelfde prijs.