DKIM-Prüfung

DKIM-Eintrag einer Domain und die Schlüssellänge prüfen

DKIM signiert jede Nachricht mit einem Schlüssel, und Empfänger prüfen die Signatur gegen den öffentlichen Schlüssel im DNS. Der Schlüssel liegt unter selector._domainkey.domain.

Eine Nachricht mit DKIM-Signatur und der Schlüssel, der sie prüft

Wie DKIM-Schlüssel funktionieren

Mit dem Selektor kann eine Domain mehrere Schlüssel zugleich halten: einen pro Maildienst oder einen alten und einen neuen beim Wechsel. Google Workspace nutzt google, Microsoft 365 nutzt selector1 und selector2, Mailchimp nutzt k1.

Schlüssel unter 2048 Bit lassen sich leichter knacken, und manche Empfänger werten Signaturen mit 1024 Bit schon als schwach. Wechseln Sie die Schlüssel ein- bis zweimal im Jahr.

Wann Sie es brauchen

Prüfen, ob ein neuer Maildienst mit Ihrer Domain signiert
Schwache Schlüssel mit 1024 Bit vor einem Mailing finden
Bestätigen, dass ein Schlüsselwechsel im DNS angekommen ist

Fragen und Antworten

01Wie finde ich meinen DKIM-Selektor?

Öffnen Sie eine Nachricht, die Sie gesendet haben, und suchen Sie den Header DKIM-Signature: Der Selektor ist das Tag s=. Mailanbieter zeigen ihn auch in den Einstellungen der Domain.

02Warum wird der Schlüssel nicht gefunden?

Vielleicht stimmt der Selektor nicht, der Anbieter verlangt einen CNAME, den Sie noch nicht angelegt haben, oder das DNS hat sich seit der Änderung noch nicht aktualisiert.

03Welche Schlüssellänge sollte ich nehmen?

RSA mit 2048 Bit. Ed25519 unterstützen weniger Empfänger, veröffentlichen Sie ihn also neben einem RSA-Schlüssel, falls Sie ihn nutzen.

04Kann eine Domain mehrere DKIM-Schlüssel haben?

Ja. Jeder Dienst bekommt einen eigenen Selektor: einen für Google Workspace, einen anderen für den Versanddienst. Die Schlüssel liegen unter verschiedenen Namen und stören sich nicht.

05Wie oft sollte ich den DKIM-Schlüssel wechseln?

Alle 6 bis 12 Monate. Veröffentlichen Sie einen Schlüssel unter einem neuen Selektor, stellen Sie die Signatur darauf um und löschen Sie den alten einige Tage später, wenn die Briefe mit der alten Signatur angekommen sind.