Hur ställer jag in DKIM för en egen e-postdomän?

Hur fungerar DKIM?

DKIM låter den sändande servern signera varje meddelande med en privat nyckel, och låter vilken mottagare som helst kontrollera signaturen med en publik nyckel som publiceras i DNS. Signaturen finns i en DKIM-Signature-rubrik. Den bär signeringsdomänen (d=), selektorn (s=), de signerade rubrikerna (h=), en hash av brödtexten (bh=) och själva signaturen (b=). RFC 6376, en Internet Standard, definierar dessa taggar.

Mottagaren bygger DNS-namnet av selektorn och domänen: selector._domainkey.domän. För selektorn fm1 och domänen example.com frågar den efter fm1._domainkey.example.com. Svaret är en post med taggarna v=DKIM1, k=rsa och p= följt av den publika nyckeln i base64. Ett tomt p= betyder att nyckeln är återkallad.

En giltig signatur bevisar två saker: meddelandet signerades av ett system som har den privata nyckeln för domänen, och de signerade delarna ändrades inte under transporten. Den säger inte att meddelandet är önskat. Det bedömningen hör till DMARC, som behandlas i SPF vs DKIM vs DMARC.

Varför ber leverantörer om CNAME-poster i stället för en nyckel?

En CNAME överlämnar nyckeln till leverantören: den publika nyckeln stannar på leverantörens adress, och leverantören kan byta ut den utan att du behöver redigera DNS. Proton Mail, Fastmail och Mailbox.org använder alla detta mönster. Deras poster är CNAME från din selektor till en värd de kontrollerar, som innehåller själva nyckelposten.

Fördelen är nyckelrotation. RFC 6376 rekommenderar att nya nycklar publiceras under nya selektorer i stället för att en selektor återanvänds, och Proton Mail publicerar tre selektorer (protonmail, protonmail2, protonmail3), vilket ger leverantören utrymme att gå från en nyckel till nästa. Kostnaden för dig är förtroende: du förlitar dig på leverantörens värd för att fortsätta svara.

Enligt Postelva:s jämförelse den 12 november 2026 behöver de tre leverantörer vars DKIM-poster lästes på deras hjälpsidor 3, 4 och 3 CNAME-poster, totalt 10, och ingen kräver en TXT-nyckel.

Hur lång bör DKIM-nyckeln vara?

Använd en 2048-bitars RSA-nyckel; 1024 bitar är minimum som RFC 6376 tillåter för långlivade nycklar. Standarden säger att signerare måste använda RSA-nycklar på minst 1024 bitar, och verifierare måste kunna kontrollera nycklar från 512 till 2048 bitar. Googles avsändarriktlinjer kräver minst 1024 bitar och rekommenderar 2048. När leverantören skapar nyckeln, som i CNAME-installationen ovan, är längden dess val och du har inget att konfigurera.

När du själv måste välja storlek, välj 2048. En 2048-bitarsnyckel är längre än en sträng på 255 tecken i DNS, så TXT-värdet delas upp i flera strängar, vilket de flesta DNS-redigerare gör av sig själva. Samma redigerargräns gäller för SPF-posten som beskrivs i hur du skapar en SPF-post.

Kan jag använda flera leverantörer på en domän?

Ja: varje leverantör signerar med sin egen selektor, så deras DKIM-poster krockar inte. Selektorn är skälet. Proton använder protonmail, protonmail2 och protonmail3; Fastmail använder fm1, fm2 och fm3; Mailbox.org använder MBO0001 till MBO0004. Ett nyhetsbrevsverktyg som skickar i ditt namn lägger till en egen selektor.

SPF är annorlunda: den har en enda post för alla avsändare, med en gräns på 10 uppslag. När du lämnar en leverantör för gott, ta bort dess DKIM-poster efter att du har bekräftat att den nya signerar, så att en övergiven nyckel inte kan användas av någon som får tillgång till det gamla kontot. För hela ordningen vid en flytt, se hur du flyttar e-post till en ny leverantör utan att förlora post.

Hur kontrollerar jag att DKIM fungerar?

Slå upp selektorn med dig och skicka sedan ett riktigt meddelande. Kommandot dig CNAME fm1._domainkey.example.com +short ska skriva ut leverantörens mål. För en TXT-nyckel, fråga efter TXT i stället. Det avgörande testet är ett meddelande: rubrikerna i den mottagna kopian visar om mottagande server registrerade dkim=pass.

Om posten är korrekt och kontrollen ändå misslyckas är de vanliga orsakerna ett fel värdnamn (domänen lagd två gånger av DNS-redigeraren), en inaktuell cache, eller ett meddelande som skickades innan leverantören aktiverade signering. Nästa guide, hur du kontrollerar MX-, SPF-, DKIM- och DMARC-poster, listar kommandona. Fastmail-stegen i sin helhet finns i guiden för egen domän hos Fastmail.