Gib eine Domain und einen DKIM-Selector ein, um den Public-Key-TXT-Eintrag nachzuschlagen, der unter <selector>._domainkey.<domain> veröffentlicht ist, und seine Tags zu lesen. Kostenlos, läuft sofort in deinem Browser über DNS-over-HTTPS, ohne Anmeldung und ohne dass etwas gespeichert wird.
Erstelle ein kostenloses Unspam-Konto, um deine Ergebnisse zu speichern und diese Checks jederzeit zu wiederholen. So fällt dir ein kaputtes Setup auf, bevor es dich etwas kostet. Ohne Kreditkarte.
Mit DKIM (DomainKeys Identified Mail) hängt ein sendender Server jeder Nachricht eine kryptografische Signatur an. Der passende Public Key wird im DNS als TXT-Eintrag unter <selector>._domainkey.<domain> veröffentlicht, wobei der Selector ein Label ist, das der Absender wählt, um mehrere Schlüssel gleichzeitig zu betreiben. Ein empfangender Server liest den Selector aus dem DKIM-Signature-Header der Nachricht, holt sich diesen Public Key und verifiziert die Signatur, um zu bestätigen, dass die Nachricht unterwegs nicht verändert wurde und wirklich von der signierenden Domain stammt. Eine gültige DKIM-Signatur ist außerdem eine der Möglichkeiten, wie sich eine Nachricht mit DMARC ausrichten und es bestehen kann. Mailbox-Provider wie Gmail und Yahoo erwarten, dass Massenversender sich mit DKIM authentifizieren, ein veröffentlichter, korrekter Eintrag gehört also dazu, um in den Posteingang zu gelangen.
DKIM wird pro Selector veröffentlicht, nicht pro Domain, du musst also einen angeben. Finde ihn in einer Nachricht, die du von der Domain erhalten hast: öffne die Rohheader und lies das s=-Tag in der DKIM-Signature-Zeile. Wenn du keinen Header sehen kannst, probiere gängige Selectors wie google (Google Workspace), selector1 und selector2 (Microsoft 365), k1 (Mailgun), s1 und s2 (SendGrid), k1, k2 und k3 (Mailchimp), default oder dkim.
Das Versions-Tag. Es sollte v=DKIM1 lauten und, wenn vorhanden, das erste Tag im Eintrag sein. Alles andere bedeutet, dass der Eintrag kein gültiger DKIM-Schlüssel-Eintrag ist.
Der Schlüsseltyp. Die meisten Einträge nutzen k=rsa; einige moderne Setups nutzen k=ed25519. Wird k= weggelassen, gilt standardmäßig rsa, ein fehlendes k-Tag ist also normal.
Der base64-codierte Public Key. Er ist der Kern des Eintrags und muss ein durchgehender String ohne Leerzeichen oder Zeilenumbrüche sein. RFC 8301 legt für RSA ein Minimum von 1024 Bit fest, und 2048 Bit ist die aktuelle Empfehlung.
Wenn der Eintrag existiert, aber p= leer ist (p=), wurde der Schlüssel gemäß RFC 6376 absichtlich widerrufen. Das unterscheidet sich von gar keinem Eintrag: ein leeres p= signalisiert verifizierenden Servern, jede Signatur mit diesem Selector als ungültig zu behandeln.
Die Abfrage gibt nichts zurück, weil der Selector falsch ist oder der Schlüssel nie veröffentlicht wurde. Bestätige den genauen Selector aus dem s=-Tag in einem echten DKIM-Signature-Header und prüfe dann erneut. Jeder Selector ist eigenständig, der richtige Schlüssel kann also unter einem anderen Selector liegen.
Der Eintrag ist vorhanden, aber der p=-Wert ist leer, was RFC 6376 als widerrufenen Schlüssel definiert. Empfänger lassen jede mit diesem Selector signierte Signatur durchfallen. Veröffentliche den Eintrag erneut mit dem aktuellen Public Key oder richte deine Versandplattform auf einen Selector aus, der noch einen gültigen p=-Wert hat.
Der p=-Wert wurde über mehrere Strings verteilt eingefügt oder enthält versehentliche Leerzeichen und Zeilenumbrüche, sodass verifizierende Server den falschen Schlüssel rekonstruieren. Veröffentliche den base64-Schlüssel als einen durchgehenden Wert. Wenn dein DNS-Host lange TXT-Einträge in zitierte Teile aufteilt, ist das in Ordnung, solange kein Leerraum im Schlüssel selbst landet.
Wenn der Eintrag nicht mit v=DKIM1 beginnt, können Parser ihn ablehnen. Stelle sicher, dass das Versions-Tag vorhanden und an erster Stelle ist und die Tags durch Semikolons getrennt sind.
Ein 1024-Bit-RSA-Schlüssel erfüllt das alte Minimum, aber 2048 Bit ist die aktuelle Empfehlung, und ein t=y-Tag markiert die Domain als Testmodus, sodass Empfänger Fehlschläge ignorieren können. Für den Produktivbetrieb nutze einen 2048-Bit-Schlüssel und entferne t=y, sobald du bestätigt hast, dass das Signieren funktioniert.
