Den privaten Schlüssel versehentlich veröffentlichen
Nur der öffentliche Eintrag (der v=DKIM1-Wert mit p=) gehört ins DNS. Der private PEM-Schlüssel gehört in deine Versandplattform, nie in einen DNS-Eintrag. Bewahre ein sicheres Backup davon auf.
Kostenloser DKIM-Record-Generator
Erzeuge ein 2048-Bit-RSA-Schlüsselpaar komplett im Browser und kopiere dann den DKIM-TXT-Eintrag zur Veröffentlichung im DNS und den passenden privaten Schlüssel zur Installation in deiner Versandplattform. Nichts wird hochgeladen oder gespeichert, und der private Schlüssel verlässt nie dein Gerät.
Eintrag generiert? Prüfe mit dem DKIM-Check, ob er auflöst, und sieh dann mit einem kostenlosen Inbox-Placement-Test, wo deine E-Mails landen.
Finde Probleme, bevor sie teuer werden.
Erstelle ein kostenloses Unspam-Konto, um deine Ergebnisse zu speichern und diese Checks jederzeit zu wiederholen. So fällt dir ein kaputtes Setup auf, bevor es dich etwas kostet. Ohne Kreditkarte.
Was ein DKIM-Record-Generator macht
DKIM (DomainKeys Identified Mail) signiert deine ausgehenden Nachrichten mit einem privaten Schlüssel, damit Empfänger mit einem öffentlichen Schlüssel, den du im DNS veröffentlichst, prüfen können, dass die E-Mail wirklich von deiner Domain stammt und unterwegs nicht verändert wurde. Dieser Generator erstellt ein frisches 2048-Bit-RSA-Schlüsselpaar mit der in deinen Browser eingebauten Web Crypto, formatiert die öffentliche Hälfte als DKIM-TXT-Eintrag (v=DKIM1; k=rsa; p=...) für das DNS und gibt dir die private Hälfte als PEM-Datei für deinen Mailserver oder ESP. Da die Schlüssel lokal erzeugt werden, wird der private Schlüssel nirgendwohin übertragen. Du veröffentlichst den Eintrag unter selector._domainkey.deinedomain.com, wobei der Selector ein kurzes Label ist, das du wählst.
So liest du dein Ergebnis
- Selector
Ein kurzes Label, das du wählst (zum Beispiel unspam oder 2026a) und das diesen Schlüssel benennt. Du veröffentlichst den Eintrag unter selector._domainkey.deinedomain.com und konfigurierst deine Plattform so, dass sie mit demselben Selector signiert. Nutze einen neuen Selector, wenn du Schlüssel rotierst.
- p= öffentlicher Schlüssel
Der öffentliche Schlüssel in Base64 im TXT-Eintrag. Empfänger holen ihn aus dem DNS, um deine Signatur zu prüfen. Er kann gefahrlos veröffentlicht werden und kann nicht zum Signieren von E-Mails genutzt werden.
- Der private Schlüssel
Der PEM-Block, den du in deinem Mailserver oder ESP installierst. Er signiert deine ausgehenden E-Mails und muss geheim bleiben. Wer ihn hat, kann E-Mails als deine Domain signieren, bewahre ihn also sicher auf und lege ihn nie ins DNS.
- k=rsa und Schlüssellänge
Der Generator verwendet RSA mit 2048 Bit, die aktuelle Empfehlung. 1024-Bit-Schlüssel gelten weithin als zu schwach, und immer mehr Anbieter lehnen sie ab.
- t=y Testmodus-Flag
Optional. Solange t=y vorhanden ist, behandeln Empfänger die Domain als im Testmodus und ignorieren DKIM-Fehler möglicherweise. Nutze es kurz während der Einrichtung und entferne es, sobald die Signierung funktioniert.
Häufige Probleme und Lösungen
Der TXT-Wert wird als zu lang abgelehnt
Eine einzelne DNS-TXT-Zeichenkette ist auf 255 Zeichen begrenzt, und ein 2048-Bit-Schlüssel ist länger. Teile den Wert in mehrere in Anführungszeichen gesetzte Zeichenketten innerhalb eines TXT-Eintrags auf; die meisten DNS-Hosts tun das automatisch beim Einfügen.
Selector stimmt nicht überein
Der Selector im DNS muss mit dem Selector übereinstimmen, mit dem deine Plattform signiert. Weichen sie ab, schlagen Empfänger den falschen Eintrag nach und DKIM schlägt fehl. Setze beide auf dasselbe Label.
Den Eintrag veröffentlichen, aber die Signierung nicht aktivieren
Der DNS-Eintrag allein bewirkt nichts. Du musst außerdem den privaten Schlüssel installieren und die DKIM-Signierung für diesen Selector in deinem Mailserver oder ESP aktivieren.
Einen 1024-Bit-Schlüssel verwenden
Ältere Setups nutzen noch 1024-Bit-Schlüssel, die unter der heutigen Empfehlung liegen. Erzeuge einen 2048-Bit-Schlüssel mit einem neuen Selector und ziehe den alten aus dem Verkehr.
Deine Fragen, beantwortet.
Ist es sicher, einen DKIM-Schlüssel im Browser zu erzeugen?
Ja. Das Schlüsselpaar wird mit der Web Crypto API auf deinem eigenen Gerät erzeugt und nie an uns oder jemand anderen gesendet. Behandle den privaten Schlüssel wie ein Passwort: Installiere ihn in deiner Versandplattform und bewahre ein sicheres Backup auf. Nur der öffentliche Eintrag gehört ins DNS.
Welchen Selector sollte ich verwenden?
Jedes kurze Label aus Buchstaben und Zahlen, zum Beispiel unspam oder s2026. Wähle etwas, das du wiedererkennst, und nutze bei jeder Schlüsselrotation einen neuen Selector, damit der alte Schlüssel weiter funktioniert, bis du ihn entfernst.
Wo veröffentliche ich den DKIM-Eintrag?
Als TXT-Eintrag unter selector._domainkey.deinedomain.com, mit demselben Selector, den du für die Signierung konfiguriert hast. Nach der Propagierung prüfe ihn mit dem DKIM-Check.
Warum ein 2048-Bit-Schlüssel?
2048-Bit-RSA ist der aktuelle Standard: stark genug für moderne Anforderungen und überall unterstützt. 1024-Bit-Schlüssel werden zunehmend abgelehnt, und sehr lange Schlüssel lassen sich in einem einzelnen TXT-Eintrag umständlich veröffentlichen.
Wie bestätige ich, dass DKIM funktioniert?
Veröffentliche den Eintrag, installiere den privaten Schlüssel und aktiviere die Signierung, sende dir dann selbst eine Nachricht und prüfe sie mit dem DKIM-Check oder einem vollständigen Zustellbarkeitstest. Eine bestehende, ausgerichtete DKIM-Signatur erfüllt auch DMARC.