DKIM-Checker

Ein DKIM-Eintrag ist ein DNS-TXT-Eintrag, der unter <selector>._domainkey.<domain> veröffentlicht wird. Er enthält einen öffentlichen Schlüssel, den empfangende Mailserver abrufen, um die kryptografische Signatur im E-Mail-Header zu überprüfen. Der sendende Server signiert ausgehende E-Mails mit dem entsprechenden privaten Schlüssel. Stimmt die Signatur mit dem öffentlichen Schlüssel im DNS überein, gilt die Nachricht als authentisch und während der Übertragung unverändert.

Ein Selektor ist eine Bezeichnung, die Teil des DNS-Abfragepfads bildet. Da eine Domain mehrere DKIM-Schlüssel veröffentlichen kann (für verschiedene Sendedienste oder zur Schlüsselrotation), teilt der Selektor den Empfängern mit, welchen konkreten Schlüssel sie abrufen sollen. Er erscheint in den Feldern d= und s= des DKIM-Signature-Headers jeder signierten E-Mail. Selektoren sind in keinem Standard-DNS-Eintrag aufgeführt und müssen daher im Voraus bekannt sein oder aus gängigen Werten erraten werden.

Wenn kein Selektor angegeben wird, sendet das Tool DNS-TXT-Abfragen für eine vordefinierte Liste gängiger Selektornamen der Reihe nach: default , google , mail , selector1 , selector2 , dkim , email sowie eine Reihe datumsbasierter Gmail-Selektoren. Es hält beim ersten an, der einen gültigen TXT-Eintrag zurückgibt. Wenn keiner übereinstimmt, meldet das Tool, dass kein DKIM-Eintrag gefunden wurde, und fordert dich auf, den Selektor manuell einzugeben.

Ein widerrufener Schlüssel bedeutet, dass der DNS-Eintrag zwar existiert, das Tag für den öffentlichen Schlüssel aber leer ist ( p= ). Dies ist der standardmäßige DKIM-Mechanismus, um einen Schlüssel außer Betrieb zu nehmen, ohne den Eintrag vollständig zu entfernen. Empfangende Mailserver, die ein leeres p -Tag vorfinden, behandeln jede Signatur mit diesem Selektor als ungültig. Der Checker unterscheidet dies von einem fehlenden oder fehlerhaften Eintrag und meldet es gezielt als Widerruf und nicht als Fehler.

Drei Warnungen solltest du unbedingt beachten. Erstens gilt ein kurzer RSA-Schlüssel (unter 1024 Bit, je nach Richtlinie manchmal unter 2048 Bit) als kryptografisch schwach und kann gebrochen werden. Zweitens bedeutet t=y , dass sich die Domain im Testmodus befindet, sodass Empfänger DKIM-Fehler möglicherweise nicht durchsetzen. Drittens weist nur h=sha1 auf die Verwendung eines veralteten Hash-Algorithmus hin. Jede dieser Warnungen stellt ein echtes Zustellbarkeits- oder Sicherheitsrisiko dar und ist kein rein kosmetisches Problem.

DKIM arbeitet auf Nachrichtenebene. Es hängt eine kryptografische Signatur an eine E-Mail und veröffentlicht den entsprechenden öffentlichen Schlüssel im DNS, damit Empfänger die Signatur überprüfen können. DMARC arbeitet auf Richtlinienebene. Es liest die Ergebnisse der DKIM- und SPF-Prüfungen und teilt Empfängern mit, was sie tun sollen, wenn diese Prüfungen fehlschlagen (nichts tun, in Quarantäne verschieben oder ablehnen). DKIM beweist die Integrität, DMARC setzt eine Reaktion durch. Du kannst deine DMARC-Konfiguration mit dem DMARC-Checker überprüfen.

Die häufigsten Ursachen sind DNS-Propagierungsverzögerungen (Einträge können Minuten bis Stunden brauchen, um weltweit sichtbar zu werden), ein falscher Selektor (die automatische Erkennungsliste enthält nicht jeden möglichen Selektor) oder ein Tippfehler im DNS-Eintrag. Versuche, den genauen Selektor einzugeben, den dir dein E-Mail-Anbieter mitgeteilt hat. Wenn der Eintrag immer noch nicht erscheint, prüfe, ob der TXT-Eintrag im Kontrollpanel deines DNS-Anbieters korrekt gespeichert ist, und stelle sicher, dass das Hostnamen-Format genau <selector>._domainkey.<domain> entspricht.

Ja. Der Checker liest und meldet das Schlüsseltyp-Tag ( k= ) und verarbeitet sowohl rsa - als auch ed25519 -Einträge. Ed25519 erzeugt kürzere Schlüssel mit starken Sicherheitseigenschaften, aber die Unterstützung durch Empfänger ist noch nicht universal. Einige ältere Mailserver überprüfen Ed25519-Signaturen überhaupt nicht, was bedeutet, dass eine gültige Signatur trotzdem als unsigniert behandelt werden kann. Der Checker meldet den Schlüsseltyp, damit du die Kompatibilität mit deinen Empfängern einschätzen kannst.

Ja. Das Tool stellt einen GET-Endpoint unter /api/check-dkim?domain=<domain>&selector=<selector> bereit. Die Antwort ist JSON und enthält Felder für dkim_found , selector , dkim_record , is_valid , errors , warnings , tags , key_type , public_key_length und has_version . Das macht es einfach, die DKIM-Validierung in Monitoring-Skripte oder Deployment-Pipelines zu integrieren, die DNS-Einträge nach Konfigurationsänderungen überprüfen.

Nein. Das v=DKIM1 -Tag wird von der Spezifikation empfohlen, ist aber nicht zwingend erforderlich. Mailempfänger sollen Einträge auch ohne dieses Tag akzeptieren. Der Checker meldet, ob das Versions-Tag vorhanden ist, über das Feld has_version , aber sein Fehlen führt nicht zu einem Validierungsfehler. Es gilt als gute Praxis, es einzuschließen, da es den Zweck des Eintrags für jeden, der die rohen DNS-Daten liest, eindeutig macht.

Die Abfrage ist eine reine DNS-Leseanfrage. Das Tool fragt den DNS-Eintrag für die von dir angegebene Domain ab und gibt das Ergebnis zurück. Bei einer DKIM-Prüfung werden keine personenbezogenen Daten übermittelt, da Domainnamen öffentliche DNS-Informationen sind. Alle Details dazu, wie Pingie mit Daten umgeht, findest du in der Datenschutzerklärung .

Führe eine Prüfung nach jeder DNS-Änderung, einem Wechsel des E-Mail-Anbieters oder einer Schlüsselrotation durch. Es lohnt sich auch, nach der Übertragung deiner Domain an einen neuen Registrar zu überprüfen, da beim Import von Zonendateien gelegentlich TXT-Einträge verloren gehen oder beschädigt werden. Wenn du mehrere Sendedienste verwendest (transaktionale E-Mails, Marketing-Plattformen, CRMs), prüfe jeden Selektor separat, da es sich um unabhängige Einträge handelt, die unabhängig voneinander fehlschlagen können.