DKIM-Prüfer

Es ist eine Signatur, die der Server, der Ihre E-Mails versendet, jeder Nachricht mit einem privaten Schlüssel hinzufügt. Der Empfänger sucht den öffentlichen Schlüssel in Ihrem DNS und prüft, ob die Signatur passt: So weiß er, dass die Nachricht von jemandem stammt, der Ihre Domain kontrolliert, und dass niemand sie unterwegs verändert hat. Anders als beim SPF reist die Signatur in der Nachricht mit und übersteht daher meist eine Weiterleitung.

Öffnen Sie eine E-Mail, die Sie gesendet haben, lassen Sie sich das Original anzeigen (in Gmail „Original anzeigen“) und suchen Sie den Header DKIM-Signature. Der Wert von s= ist der Selektor, der von d= die signierende Domain. Einige gängige: google bei Google Workspace, selector1 und selector2 bei Microsoft 365, default bei cPanel, fm1 bei Fastmail und k1 bei Mailchimp.

Weil es bei DKIM kein Verzeichnis gibt: Der Schlüssel liegt unter einem Namen, den nur kennt, wer den Selektor weiß. Wir testen die der gängigsten Anbieter, aber manche Dienste erzeugen für jede Domain einen eigenen. Wenn Sie Ihren kennen, tragen Sie ihn in das Feld Selektor ein: Dann lesen wir ihn direkt von Ihren DNS-Servern, das funktioniert also auch, wenn Sie ihn gerade erst veröffentlicht haben.

Mit 2048, wann immer möglich. 1024 ist das Minimum, das der Standard zulässt, und funktioniert weiterhin, wird aber nicht mehr empfohlen. Ein 2048-Bit-Eintrag überschreitet die 255 Zeichen, die in eine TXT-Zeichenkette passen, und wird daher in Stücke in Anführungszeichen aufgeteilt: Das ist normal, und der lesende Server fügt sie wieder zusammen.

Nicht unbedingt. Der Eintrag sagt nur, dass der Schlüssel existiert; das Signieren ist Sache des sendenden Servers, und bei vielen Anbietern muss man es nach dem Veröffentlichen separat aktivieren. Ob Ihre E-Mails signiert hinausgehen, sehen Sie, wenn in den Headern einer gesendeten Nachricht dkim=pass mit Ihrer Domain steht, oder Sie senden sie an unseren E-Mail-Test.