netlupaDKIM-Schlüssel einer Domain prüfen
DKIM signiert jede E-Mail, damit der Empfänger prüfen kann, dass niemand sonst sie gesendet hat. Gib die Domain ein und, falls bekannt, ihren Selektor.
So funktioniert DKIM
Der sendende Server signiert die E-Mail mit einem privaten Schlüssel und fügt den Header DKIM-Signature hinzu. Der Empfänger liest darin die Domain (d=) und den Selektor (s=), fragt den TXT-Eintrag selektor._domainkey.domain ab und prüft die Signatur mit dem öffentlichen Schlüssel, den er dort findet.
Der Selektor erlaubt mehrere Schlüssel gleichzeitig: einen pro Anbieter oder einen neuen beim Rotieren des alten. Deshalb lassen sich nicht alle Schlüssel einer Domain auflisten: Man muss den Selektor kennen. Gibst du keinen an, probiert das Tool die der gängigsten Anbieter.
Der Schlüssel muss RSA mit mindestens 1024 Bits (empfohlen 2048) oder Ed25519 sein. Ein leerer Schlüssel (p=) bedeutet, dass der Selektor widerrufen wurde.
Jeder Eintrag im Detail
Häufige Fragen
Wie oft sollte ich den DKIM-Schlüssel wechseln?
Empfohlen ist mindestens einmal im Jahr: Veröffentliche zuerst den neuen unter einem anderen Selektor, stelle die Signatur um und entferne den alten ein paar Tage später.
Warum passt mein 2048-Bit-Schlüssel nicht ins DNS?
Ein TXT-String fasst höchstens 255 Zeichen, aber ein Eintrag kann mehrere Strings hintereinander enthalten. Moderne DNS-Oberflächen teilen sie automatisch; tut deine das nicht, teile den Schlüssel in Stücke in Anführungszeichen.
Was ist mein DKIM-Selektor?
Öffne eine E-Mail, die du gesendet hast, sieh dir den Quelltext oder die Originalheader an und suche DKIM-Signature: Der Wert von „s=“ ist der Selektor, der von „d=“ die Domain. Google Workspace nutzt meist „google“, Microsoft 365 „selector1“ und „selector2“.
Ist „~all“ oder „-all“ besser?
Mit DMARC ist der praktische Unterschied klein, weil die DMARC-Richtlinie entscheidet. „-all“ ist strenger; „~all“ ist nachsichtiger bei Weiterleitungen und vergessenen Diensten. Ohne DMARC schützt „-all“ mehr.
Ich habe das DNS geändert und das Tool sieht es nicht. Warum?
DNS-Einträge werden so lange zwischengespeichert, wie ihre TTL angibt (oft eine Stunde). Warte diese Zeit ab und prüfe erneut. Prüfe auch, ob der Eintrag am richtigen Namen hängt (zum Beispiel _dmarc.deinedomain.de für DMARC).
Brauche ich SPF und DMARC für eine Domain, die keine E-Mails sendet?
Ja, das ist sehr empfehlenswert: Veröffentliche „v=spf1 -all“ und „v=DMARC1; p=reject;“, damit niemand diese Domain für gefälschte E-Mails nutzen kann.
Speichert ihr die Domains, die ich prüfe?
Nein. Wir fragen das öffentliche DNS im Moment der Prüfung mit unserem eigenen Resolver ab und speichern weder die Domain noch das Ergebnis.