DKIM-Eintrag prüfen: Ihren DKIM-Record kontrollieren
Mit DKIM signiert ein sendender Server jede Nachricht mit einem privaten Schlüssel, und Empfänger prüfen die Signatur gegen einen öffentlichen Schlüssel, der in DNS veröffentlicht ist. Geben Sie Ihre Domain und den Selector ein, den Ihr Mailanbieter verwendet, um diesen Schlüssel abzurufen, und sehen Sie dann seine Länge, sein Format und warum Signaturen womöglich scheitern.
So finden Sie Ihren DKIM-Selector
Eine Domain kann gleichzeitig viele DKIM-Schlüssel haben, für verschiedene Dienste oder für den Schlüsselwechsel, und der Selector ist die Bezeichnung, die angibt, welcher verwendet werden soll. Jeder Schlüssel liegt unter selector._domainkey.ihredomain.com, sodass google._domainkey und s1._domainkey nebeneinander bestehen können.
Am schnellsten finden Sie Ihren so: Senden Sie sich selbst eine Nachricht, öffnen Sie die vollständigen Header und suchen Sie die Zeile DKIM-Signature. Der Wert s= ist der Selector, und d= ist die Domain, die signiert hat.
Sie wissen nicht, wie ein Ergebnis aussieht? Die Beispielschaltflächen oben zeigen einen gesunden 2048-Bit-Schlüssel (yahoo.com mit s2048), einen 1024-Bit-Schlüssel, der die Warnung vor schwachen Schlüsseln auslöst (yahoo.com mit s1024), und einen widerrufenen Schlüssel (gmail.com mit 20230601).
Selectors, die manche Anbieter standardmäßig nutzen
Diese variieren je nach Anbieter und danach, wie ein Konto eingerichtet wurde. Betrachten Sie sie daher als Ausgangspunkt und bestätigen Sie sie bei Ihrem Anbieter.
| Anbieter | Gängige Selectors |
|---|---|
| Google Workspace | google (und ein datumsbasierter Name bei neueren Schlüsseln) |
| Microsoft 365 | selector1 und selector2 |
| SendGrid | s1 und s2 |
| Mailchimp | k1, k2 und k3 |
| Viele Kontrollpanels und Hoster | default |
Einen DKIM-Record lesen
| Tag | Bedeutung |
|---|---|
| v=DKIM1 | Die Version. Optional, muss aber DKIM1 lauten, wenn vorhanden |
| k | Schlüsseltyp: rsa (der Standard) oder ed25519 |
| p | Der öffentliche Schlüssel in Base64. Ein leerer Wert bedeutet, dass der Schlüssel widerrufen ist |
| t=y | Testmodus: Empfänger gehen mit Fehlschlägen unter Umständen nachsichtig um |
| t=s | Streng: Die signierende Domain muss mit der Domain der Absenderadresse (From) genau übereinstimmen |
| s | Für welche Dienste der Schlüssel verwendet werden darf: email oder * |
Schlüssellänge, Aufteilung und Schlüsselwechsel
- Verwenden Sie einen 2048-Bit-RSA-Schlüssel. 1024-Bit-Schlüssel werden noch verifiziert, werden aber nicht mehr empfohlen, und alles Kürzere ist unsicher.
- Ein 2048-Bit-Schlüssel ist länger als die 255 Zeichen, die eine DNS-Zeichenkette fassen kann, daher wird er als mehrere Zeichenketten in Anführungszeichen innerhalb eines TXT-Records veröffentlicht. Die meisten DNS-Dashboards erledigen das für Sie. Wird ein Schlüssel stattdessen abgeschnitten, ist er nicht lesbar.
- Wechseln Sie Schlüssel von Zeit zu Zeit. Veröffentlichen Sie zuerst einen neuen Selector, stellen Sie Ihren Mailanbieter auf Signierung damit um und lassen Sie den alten Selector bestehen, bis bereits unterwegs befindliche Mails zugestellt sind.
- Um einen Schlüssel außer Betrieb zu nehmen, veröffentlichen Sie den Record mit leerem p=, damit damit erstellte Signaturen sauber scheitern, statt dass der Record verschwindet.