DKIM-Eintrag prüfen

Prüfen Sie die DKIM-Schlüssel einer Domain: Geben Sie Ihren Selektor ein oder lassen Sie den Check die gängigen ausprobieren, und sehen Sie Typ und Länge jedes Schlüssels, ob er widerrufen ist und was am Eintrag falsch ist.

Die DNS-Abfragen gehen direkt von Ihrem Browser an öffentliche Resolver (Cloudflare, Google): Wir sehen nichts.

Was der DKIM-Check prüft

Der Selektor, den Sie angeben: DKIM-Schlüssel liegen unter <selektor>._domainkey.<domain>. Geben Sie den Selektor aus dem s= eines DKIM-Signature-Headers an: Der Check liest genau diesen Eintrag oder sagt Ihnen, dass er nicht existiert.
Die gängigen Selektoren: Rund dreißig Selektoren von Google Workspace, Microsoft 365, Mailchimp, Proton, Zendesk, OVHcloud und anderen werden zusätzlich ausprobiert. Selektoren lassen sich nicht auflisten: Wird hier keiner gefunden, beweist das nicht, dass es keinen gibt.
Schlüsseltyp und -länge: RSA-Schlüssel unter 1024 Bit weisen die meisten Empfänger ab, 2048 Bit sind heute Standard. Ed25519-Schlüssel sind von Natur aus kurz (256 Bit) und stark.
Widerrufene Schlüssel: Ein leeres p= bedeutet, dass der Schlüssel absichtlich zurückgezogen wurde: Jede Nachricht, die noch damit signiert ist, scheitert an DKIM.
Die Syntax des Eintrags: v= muss DKIM1 lauten, wenn vorhanden, k= rsa oder ed25519, und p= das Base64 eines echten Schlüssels. Ein Eintrag, der nur SHA-1 erlaubt (h=sha1), wird nicht mehr akzeptiert, und t=y kennzeichnet einen Schlüssel im Testmodus.

So lesen Sie das Ergebnis

Grün: ein gültiger Schlüssel: Der Selektor veröffentlicht einen RSA-Schlüssel mit 2048 Bit oder mehr oder einen Ed25519-Schlüssel. Damit signierte Nachrichten können DKIM bestehen.
Orange: schwach oder unsicher: Ein 1024-Bit-Schlüssel, nur SHA-1, Testmodus oder kein Schlüssel auf den gängigen Selektoren. Geben Sie Ihren eigenen Selektor an, um sicher zu sein.
Rot: defekt: Der angegebene Selektor hat keinen Eintrag, oder sein Schlüssel ist nicht lesbar: Jede damit signierte Nachricht scheitert an DKIM.
Die Schlüsseltabelle: Jeder gefundene Selektor mit Typ, Länge und Status seines Schlüssels. Öffnen Sie einen Selektor, um seinen vollständigen Eintrag zu sehen, wie ihn Empfänger erhalten.

Häufige DKIM-Fehler und ihre Behebung

DKIM-Fehler erscheinen im Header Authentication-Results einer empfangenen E-Mail und in den Logs der Mailserver. Hier die üblichen, was sie bedeuten und was zu ändern ist.

`No DKIM record found for selector`

Ursache. Die Signatur nennt einen Selektor, der keinen Eintrag im DNS hat. Empfänger schreiben „dkim=neutral (no key for signature)“ oder „dkim=permerror (no key for signature)“. Die Einträge des Anbieters wurden nie angelegt, in der falschen Zone angelegt, oder der Anbieter ist auf einen neuen Selektor umgestiegen.

Behebung. Kopieren Sie die Einträge aus der Konsole des Anbieters (oft zwei CNAME-Einträge, etwa selector1 und selector2 bei Microsoft 365), prüfen Sie sie hier mit diesem Selektor und schalten Sie dann die Signatur ein.

`DKIM signature failed`

Ursache. Der Schlüssel wurde gefunden, aber die Signatur lässt sich nicht verifizieren: „dkim=fail (signature did not verify)“ oder „dkim=neutral (body hash did not verify)“, wenn die Nachricht nach dem Signieren verändert wurde, etwa durch die Fußzeile einer Mailingliste oder ein Sicherheits-Gateway. Es passiert auch, wenn der veröffentlichte Schlüssel nicht mehr zum privaten Schlüssel passt.

Behebung. Scheitern alle Ihre E-Mails, veröffentlichen Sie den Schlüssel erneut aus der Konsole des Anbieters: Ein beim Einfügen abgeschnittener Eintrag ist häufig. Scheitern nur weitergeleitete oder Listen-E-Mails, ist das normal; DMARC kann bei direktem Versand weiter über SPF bestehen.

`dkim=pass but dmarc=fail`

Ursache. Die Nachricht ist signiert, aber mit der Domain des Anbieters (d=sendgrid.net, d=mailchimpapp.net) statt mit Ihrer. DKIM besteht, ist aber nicht mit der From-Adresse aligned, also scheitert DMARC.

Behebung. Richten Sie beim Anbieter die Domain-Authentifizierung ein (manchmal „eigene Domain“ genannt), damit er mit d=Ihre Domain signiert.

`DKIM key too short`

Ursache. Der Schlüssel hat 1024 Bit oder weniger. Unter 1024 Bit wird er abgewiesen; 1024 Bit gehen noch durch, liegen aber unter den aktuellen Empfehlungen.

Behebung. Erzeugen Sie beim Anbieter einen 2048-Bit-Schlüssel, veröffentlichen Sie ihn unter einem neuen Selektor, stellen Sie die Signatur darauf um und widerrufen Sie dann den alten, indem Sie sein p= leeren.

`DKIM public key invalid`

Ursache. Der Wert von p= ist kein gültiges Base64 oder kein vollständiger Schlüssel: Anführungszeichen oder Leerzeichen darin, ein Zeilenumbruch oder ein langer Wert, der bei 255 Zeichen abgeschnitten wurde.

Behebung. Fügen Sie den Schlüssel am Stück ein. Ein TXT-Wert über 255 Zeichen muss in mehrere Zeichenketten in Anführungszeichen aufgeteilt, nie abgeschnitten werden; die meisten DNS-Oberflächen teilen ihn selbst auf.

Fragen

Wie finde ich meinen DKIM-Selektor?

Öffnen Sie eine gesendete Nachricht, lassen Sie sich das Original oder die Header anzeigen und suchen Sie DKIM-Signature: Der Selektor ist der Wert von s=, die signierende Domain der Wert von d=. Unsere E-Mail-Header-Analyse liest sie für Sie.

Warum findet der Check meinen DKIM-Schlüssel nicht?

Jeder Anbieter wählt seine Selektoren selbst, und sie lassen sich nicht auflisten. Ist Ihrer nicht unter den gängigen, kann der Check ihn nicht erraten: Geben Sie ihn im Feld für den Selektor ein.

DKIM-Schlüssel mit 1024 oder 2048 Bit?

2048. 1024-Bit-Schlüssel bestehen bei den meisten Empfängern noch, liegen aber unter den aktuellen Empfehlungen, und kürzere werden abgewiesen. Kommt Ihr DNS-Anbieter mit langen Einträgen schlecht zurecht, ergänzen Sie einen Ed25519-Schlüssel neben einem RSA-Schlüssel.

Wie wechsle ich einen DKIM-Schlüssel?

Veröffentlichen Sie den neuen Schlüssel unter einem neuen Selektor, lassen Sie den Anbieter damit signieren, warten Sie einige Tage auf Nachrichten, die noch unterwegs sind, und widerrufen Sie dann den alten, indem Sie ihn mit leerem p= veröffentlichen.

Wird etwas an Ihre Server gesendet?

Nein. Die Abfragen gehen von Ihrem Browser an öffentliche DNS-over-HTTPS-Resolver (Cloudflare, dann Google): Wir sehen nichts.