Waarom blijft mijn DKIM signature invalid?

[RoelZ]

Hi,

Ik stoei al een hele poos met wat validaties op mijn email. Zelf heb ik al meerdere malen gepoogt dit te begrijpen en oplossen maar elke keer loop ik tegen hetzelfde probleem aan. De DKIM signature blijft invalid.

Mijn hostingprovider is 123-webhost en mijn domeinnaam is ondergebracht bij Transip.
Ik maak gebruik van Gmail waarin ik zowel de POP als SMTP verwijs naar secure.123-hosting-server.net

In mijn DNS records heb ik drie TXT records

code:

@  TXT  v=spf1 mx mx:secure.123-hosting-server.net a   include:secure.123-hosting-server.net ~all
x._domainkey  TXT  v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEblablabla
_dmarc  TXT  v=DMARC1; p=none; sp=none;

en daarnaast nog een A-record (dat voorheen CNAME was)

code:

mail  A  83.172.xxx.xx

Dit IP-adres is tevens mijn @ (domein default)

In Gmail heb ik het zo ingesteld dat alles via SSL gedaan wordt.

code:

POP (995) secure.123-hosting-server.net
SMTP (465) secure.123-hosting-server.net

Als ik vervolgens een mail stuur naar mijn eigen prive gmail (G-suite account) zie ik dat DKIM failed.

code:

DKIM-Signature: v=1; a=rsa-sha256; q=dns/txt; c=relaxed/relaxed; d=mijndomein.com; s=x; h=Content-Type:To:Subject:Message-ID:Date:From: MIME-Version:Sender:Reply-To:Cc:Content-Transfer-Encoding:Content-ID: Content-Description:Resent-Date:Resent-From:Resent-Sender:Resent-To:Resent-Cc :Resent-Message-ID:In-Reply-To:References:List-Id:List-Help:List-Unsubscribe: List-Subscribe:List-Post:List-Owner:List-Archive; bh=45BjgqI5Y2gPp5ZMEqi6mu0i2pmkZDYblablabla; b=fopgUxhGqJ2wIPj6GymXVlvGv1 v7qKnEcDY8EHYhgVnEau5FjMGDUGntsblablabla;

Tools zoals mail-tester.com en sparkpost.com blijven aangeven dat dit icm de key niet valide is.

Het enige waar ik over twijfel is of Gmail een eigen signature bedenkt en/of de nameserver (ik gebruik die van Transip) wellicht toch in de mix zit en dat ik misschien 123-webhost NS zou moeten gebruiken.

Ik ben benieuwd of iemand van jullie dit probleem herkennen en wellicht mij op andere (betere) gedachtes kan brengen

En wellicht een betere vraag: Hoe genereer je de juiste DKIM key voor je eigen domein/mailserver?
Ik heb gebruik gemaakt van Sparkpost.com, maar ik kan me voorstellen dat hier nog een fout zou kunnen zitten.


Directe update: Ik heb geprobeerd om direct vanuit de mailserver (roundcube ipv gmail) een mail te testen, maar hierbij krijg ik dezelfde issue.

[ Voor 5% gewijzigd door RoelZ op 01-09-2020 11:13 . Reden: betere vragen stellen Roel... ]

[BAJansen]

RoelZ schreef op dinsdag 1 september 2020 @ 11:04:
Ik maak gebruik van Gmail waarin ik zowel de POP als SMTP verwijs naar secure.123-hosting-server.net

Wat bedoel je hier precies mee? Vanaf welke server worden mails verstuurd, servers van gmail of de server van 123-hosting-server.net?

Wat ik mis in je verhaal is hoe je de private DKIM key hebt ingesteld. Met alleen de juiste DNS records aanmaken ben je er nog niet.

[RoelZ]

Zover ik alles goed begrijp heb gebruik ik puur Gmail als client en loopt zowel het versturen als het verzenden via 123-hosting-server.net. Ik weet echter niet wat Google op de achtergrond nog meer doet met de mails.

Met je DKIM vraag raak je wellicht de juiste plek nu, want zover ik hierin alles goed dacht te begrijpen was het inderdaad alleen een DNS record zetten.
Ik heb dus puur het formulier van Sparkpost gebruikt om het te gereneren. Vervolgens alleen toegepast in mijn DNS, maar verder niets met de key's of certificaten gedaan. Hierover kwam ik eigenlijk ook niets tegen in de documentatie van Transip of 123-webhost (of Vimexx).

Kun je mij hier iets meer over vertellen?

[Jivebunny]

Heb je dit wel gedaan? https://support.google.com/a/answer/180504

[ Voor 6% gewijzigd door Jivebunny op 01-09-2020 13:18 . Reden: verkeerde linkje ]

[RoelZ]

Jivebunny schreef op dinsdag 1 september 2020 @ 13:17:
Heb je dit wel gedaan? https://support.google.com/a/answer/180504

Daar ben ik inderdaad ook uitgekomen... maar wat blijkt dan.. ineens gaat het over G-Suite. Je hebt dus geen admin console voor een simpel Gmail account. Hierdoor kan ik de stappen dus niet doornemen.

[Vorkie]

Er moet ergens wel DKIM signing worden toegepast? Welke MTA doet dit?

[thof]

De verzendende mail server zal wel de berichten moeten signen met je DKIM key. Oftewel, de mail server moet geconfigureerd worden, of als dat niet kan, de key van de mailservice moet opgenomen worden in je DNS i.p.v. je eigen gegenereerde setje DKIM keys.

[RoelZ]

Oké, dit (jullie antwoorden) lijkt de goede kant op te gaan. Dit heb ik namelijk compleet gemist!

Ik had al eerder gezocht hoe je vanuit DirectAdmin een DKIM zou kunnen instellen, echter kom ik dan bij een hele handmatige installatie uit, wat 123-webhost niet biedt (SSH).

Zoals @thof omschrijft, lijkt het er dan in mijn geval op dat ik mijn huidige key in mijn DNS record dan moet vervangen met die van de "mailservice", maar waar vindt ik deze?

Hieronder mijn gelimiteerde DA dashboard (mocht het helpen)

[BlackMonkey]

Heb je bij email-accounts DKIM aangezet in het panel? Daarna is er als het goed is een juist gegenereerde DKIM key die je kan gebruiken. Als je de nameservers van Transip gebruikt moet je deze daar invoeren.

[RoelZ]

@BlackMonkey , ik zou dit graag willen doen maar onder het POP/IMAP email-accounts krijg ik alleen de volgende mogelijkheden...

[Djordjo]

Kijk eens onder DNS-beheer. Staat je DKIM-key daar niet onder "x._domainkey"?

Bij een andere hoster:

Het DKIM record vind je in DirectAdmin bij "DNS Management", de naam van het record begint met x._domainkey. Dit record kan je ook weer 1 op 1 overnemen en instellen als TXT record als de DNS via een andere partij draait.

[ Voor 69% gewijzigd door Djordjo op 01-09-2020 14:25 ]

[BlackMonkey]

Dan ff kijken of er in de DNS al een DKIM staat en die proberen. Als die er niet is zal je toch echt ff de hoster moeten vragen hoe het zit, zij beheren de server en opties.

[RoelZ]

@thof , @Djordjo en @BlackMonkey , GOUD!! Het is gefixed!

De DKIM vanuit het DNS-beheer in DirectAdmin gaf ook een record.
Ik had deze al eerder gebruikt (toen andere dingen fout stonden) en later nog eens bekeken en naast mijn eigen gegenereerde key gelegd... althans.. in dit soort gevallen (BASE64) check ik altijd de eerste paar letters/cijfers en de laatste.. Die kwamen overeen.. dom-dom-dom.. want er zat weldegelijk een verschil!

Heb zojuist de DKIM vanuit de DNS recors van DA in mijn Transip DNS records gezet en getest en nu klopt het! Wat een feest! 🙌🎉👏

Ik ben iedereen in deze thread heel erg dankbaar voor het mee denken en het zoeken naar de oplossing!
Dank jullie wel!