DKIM signiert jede ausgehende Mail, und der empfangende Server prüft die Signatur mit einem öffentlichen Schlüssel aus dem DNS Ihrer Domain. Dieser DKIM-Check liest den Schlüssel unter selector._domainkey.domain, wertet den Eintrag aus und zeigt Schlüsseltyp und Länge, Testmodus, Einschränkungen der Algorithmen und Fehler. Die Abfragen laufen direkt aus Ihrem Browser über die öffentlichen DNS-Resolver von Google und Cloudflare.
Wo finde ich den Selektor?
Ein Selektor ist eine kurze Kennung, die der Maildienst festlegt: google, selector1, default, k1 und so weiter. Eine Domain kann mehrere haben, einen pro Versanddienst. Am zuverlässigsten finden Sie ihn in einer Mail: Öffnen Sie die Header einer Nachricht von Ihrer Domain und suchen Sie die Zeile DKIM-Signature. Ihr Tag s= ist der Selektor, d= die signierende Domain. Die Mail-Header-Analyse zeigt beides auf einen Blick.
Die Schaltfläche „Selektor finden“ probiert neun übliche Namen (google, default, selector1, selector2, k1, mail, dkim, s1, s2). Damit finden Sie Schlüssel von Google Workspace, Microsoft 365, Mailchimp und vielen Hosting-Panels, aber nicht von jedem Dienst: Manche erzeugen zufällige Selektoren.
So lesen Sie das Ergebnis
- Schlüssel gefunden: Der Eintrag existiert und enthält einen öffentlichen Schlüssel im Tag
p=. - Schlüssellänge: Für RSA werden 2048 Bit empfohlen. 1024 Bit werden noch akzeptiert, sind aber das Minimum; kürzere Schlüssel ignorieren Empfänger womöglich.
- Ed25519: ein moderner, kurzer Schlüssel. Nicht jedes Mailsystem prüft ihn, veröffentlichen Sie daher zusätzlich einen RSA-Schlüssel.
- Leeres p=: Der Schlüssel ist widerrufen. Beim Schlüsselwechsel normal, doch Mails mit diesem Selektor fallen durch.
- t=y: Testmodus. Entfernen Sie ihn, sobald alles funktioniert.
- h= schränkt die Hash-Algorithmen ein. Ist nur sha1 erlaubt, gelten die Signaturen als veraltet.
Typische DKIM-Fehler
Langer Schlüssel falsch aufgeteilt. Ein RSA-2048-Schlüssel passt nicht in einen TXT-String mit 255 Zeichen. Er wird als mehrere Strings in Anführungszeichen innerhalb eines Eintrags veröffentlicht, die meisten DNS-Panels erledigen das automatisch. Gingen beim Kopieren Zeichen verloren, meldet das Tool, dass p= kein gültiger Schlüssel ist.
Doppelter Eintrag. Zwei DKIM-TXT-Einträge mit demselben Namen machen die Prüfung unberechenbar. Behalten Sie einen.
DKIM besteht, DMARC nicht. DKIM muss ausgerichtet sein: Die Domain in d= muss zur From-Domain passen oder eine Subdomain davon sein. Signiert ein Newsletter-Dienst mit seiner eigenen Domain, richten Sie dort Ihre eigene Domain ein.
DKIM zusammen mit SPF und DMARC
DKIM schützt den Inhalt, SPF legt fest, welche Server für Ihre Domain senden dürfen, und DMARC sagt Empfängern, was mit durchgefallenen Mails geschehen soll. Den SPF-Eintrag baut der SPF-Generator, die Richtlinie der DMARC-Generator; die Reihenfolge erklärt unsere Anleitung SPF, DKIM und DMARC einrichten. Ihre aktuellen SPF- und DMARC-Einträge zeigt der Mail-Modus im DNS-Check.
Landen Mails trotzdem im Spam, prüfen Sie die Adresse Ihres Mailservers im IP-Blacklist-Check. Beim E-Mail-Hosting von RichHost sind Anzahl und Größe der Postfächer unbegrenzt, Mails gehen über saubere IP-Adressen hinaus, und die Zustellung wird überwacht.
Häufige Fragen
Warum wird DKIM nicht gefunden, obwohl es eingerichtet ist?
Meist stimmt der Selektor nicht. Sehen Sie im DKIM-Signature-Header einer echten Mail nach dem Tag s=. Neue DNS-Einträge können wegen Caching außerdem erst nach einigen Stunden sichtbar sein.
Wie viele DKIM-Einträge darf eine Domain haben?
So viele wie nötig, einen pro Selektor. Jeder Dienst, der für Ihre Domain sendet, nutzt einen eigenen Selektor.
Wie oft sollte man den DKIM-Schlüssel wechseln?
Viele Unternehmen wechseln alle 6 bis 12 Monate: neuen Selektor veröffentlichen, die Signatur darauf umstellen und erst dann den alten Schlüssel widerrufen.