Controleer de sleutel achter je e-mail: zo weet je of je DKIM nog veilig is

Een slot dat al jaren op de lijst "ooit vervangen" staat

Elke mail die je bedrijf verstuurt, krijgt een onzichtbare handtekening mee. Die handtekening vertelt de ontvanger dat het bericht echt van jouw domein komt en onderweg niet is aangepast. Bijna niemand kijkt er ooit naar, want als het werkt merk je er niets van.

Juist daarom staat bij veel kleine bedrijven nog de sleutel die er jaren geleden bij het inrichten in is gezet. Vaak is dat een korte sleutel die volgens de huidige richtlijnen al lang vervangen had moeten zijn. Nieuws van deze week is een goede aanleiding om dat eindelijk op te ruimen.

Wat Google DeepMind vond

Op 6 november 2026 maakte Google DeepMind bekend dat AI-agents, onder begeleiding van onderzoekers, twee zwakke plekken hebben gevonden in RSA-sleutels van 1024 bits. Dat is een oudere versleutelingsstandaard die nog op veel plekken draait.

De eerste vondst gaat over het namaken van digitale handtekeningen. Volgens de theoretische schatting van DeepMind is dat onder bepaalde omstandigheden veel goedkoper dan met de beste methode die tot nu toe bekend was. De tweede vondst maakt het goedkoper om een hele reeks verwante sleutels tegelijk te kraken.

Twee kanttekeningen horen erbij. Het gaat om berekeningen en een nagebootste test. Een echte aanval is niet gezien. Daarnaast zijn sleutels van 2048 bits volgens DeepMind gewoon veilig. Het nieuws zegt dus niet dat je mail morgen wordt vervalst. Het zegt dat de oude sleutel steeds minder marge heeft en dat AI het zoekwerk naar zulke zwakke plekken versnelt. Dat laatste zagen we eerder al bij het tempo waarin lekken worden misbruikt.

Waar die 1024 bits bij jou zitten: DKIM

De handtekening uit de eerste alinea heet DKIM. Je mailserver zet met een geheime sleutel een handtekening op elk bericht. De bijbehorende openbare sleutel staat in de DNS van je domein, zodat Gmail, Outlook en andere ontvangers kunnen controleren of de handtekening klopt.

Die sleutel kan 1024 of 2048 bits lang zijn. De internetstandaard voor DKIM (RFC 8301 uit 2018) noemt 1024 bits het minimum en raadt 2048 bits aan. Google adviseert in zijn richtlijnen voor verzenders ook 2048 bits. Toch kom je 1024 bits nog vaak tegen, omdat het jarenlang de standaardinstelling was en omdat sommige DNS-beheerschermen moeite hadden met de langere sleutel.

Waarom dit ertoe doet: als iemand een geldige DKIM-handtekening van jouw domein kan maken, ziet een nepfactuur er voor de ontvanger uit alsof hij echt van jou komt. Dat is precies het soort fraude waar klanten en leveranciers het slechtst tegen bestand zijn, net als een betaalopdracht met een nagemaakte stem.

Zo controleer je welke sleutel je hebt

Dit kost je ongeveer tien minuten en je hebt er geen technische kennis voor nodig.

1. Stuur een mail vanaf je zakelijke adres naar een privé-adres, bijvoorbeeld een Gmail-account.
2. Open het bericht en kies "Origineel weergeven" (Gmail) of "Bronweergave" (Outlook).
3. Zoek de regel die begint met DKIM-Signature. Daarin staan twee waarden die je nodig hebt: achter d= je domein en achter s= de naam van de sleutel, de zogenoemde selector. Bij Microsoft 365 is dat meestal selector1 of selector2, bij Google Workspace vaak google.
4. Vul domein en selector in bij een gratis DKIM-checker, bijvoorbeeld die van MXToolbox. De checker toont de sleutellengte.

Staat er 2048, dan ben je klaar. Staat er 1024, of vindt de checker helemaal geen DKIM-sleutel, dan is er werk te doen. Ontbreekt DKIM volledig, dan is dat zelfs urgenter dan een korte sleutel: grote mailproviders weigeren of markeren steeds vaker mail zonder geldige handtekening.

Overstappen naar 2048 bits

Hoe je wisselt, hangt af van waar je mail draait.

• Google Workspace: in de beheerconsole onder Gmail, bij de instelling voor het verifiëren van e-mail (DKIM), genereer je een nieuwe sleutel en kies je 2048 bits. Daarna zet je het nieuwe DNS-record bij je domein en klik je op "Verificatie starten".
• Microsoft 365: in het Defender-portaal onder de instellingen voor e-mailauthenticatie kun je de DKIM-sleutels roteren. Controleer na de rotatie met de checker of de nieuwe sleutel 2048 bits is.
• Mail via je hostingpartij: veel hosters regelen DKIM zelf. Vraag ze welke sleutellengte ze gebruiken en wanneer ze naar 2048 bits gaan. Dat is een vraag van één regel en het antwoord zegt veel over hoe ze hun beveiliging bijhouden.

Twee dingen om op te letten. Een sleutel van 2048 bits is langer dan wat sommige DNS-schermen in één veld accepteren. Je hosting- of domeinpartij weet hoe je hem dan opknipt. En haal de oude sleutel pas weg als de nieuwe een paar dagen werkt, anders keuren ontvangers in de tussentijd je mail af.

Kijk meteen wat er nog meer 1024 bits gebruikt

DKIM is de plek die bij de meeste bedrijven over het hoofd wordt gezien, maar hij staat niet alleen. Korte sleutels kom je ook tegen bij:

• oude certificaten op apparaten die je zelf beheert, zoals een NAS, een VPN-kastje of het beheerscherm van een printer;
• SSH-sleutels waarmee iemand jaren geleden toegang tot een server heeft gekregen en die sindsdien nooit zijn vervangen;
• koppelingen tussen systemen die met een sleutelpaar werken en ooit door een externe partij zijn ingericht.

Je hoeft die lijst niet zelf door te lopen. Vraag het aan de partij die je netwerk en servers beheert: "Gebruiken we ergens nog RSA-sleutels van 1024 bits?" Is het antwoord "weet ik niet", dan weet je wat er op de agenda moet. Het past goed in een jaarlijkse ronde langs je basisbeveiliging.

Wat je hier niet uit moet halen

Dit is geen reden voor paniek. Er is geen aanval op DKIM gemeld en wie al 2048 bits gebruikt, hoeft niets te doen. Het is wel een herinnering dat beveiliging die ooit goed genoeg was, langzaam slijt. AI maakt het zoeken naar zwakke plekken goedkoper. Dat geldt voor onderzoekers die ze melden en voor kwaadwillenden die ze stil houden.

Het goede nieuws is dat deze klus klein is. Met tien minuten controleren en hooguit een uur overstappen staat de handtekening onder elke mail die je verstuurt weer op het niveau dat de standaard al jaren vraagt.

Benieuwd of jouw mail en systemen nog op oude sleutels draaien? We kijken het graag samen met je door.