DKIM (bekannte Selektoren)

Was geprüft

Abgefragt wird unter <Selektor>._domainkey der Domain eine Liste von bis zu 15 verbreiteten Selektoren (etwa google, selector1, selector2, default, k1, s1). Den tatsächlichen Selektor kennt nur der Absender; er steht in jeder signierten Mail, ist aber von außen nicht erkennbar. Ohne Treffer lautet das Ergebnis deshalb „nicht geprüft“, nie „fehlt“.

Wie relevant

Zählt nicht zum Gesamtwert: Die Kategorie DNS und Technologien fließt nicht in die Wertung ein. Ein gefundener Schlüssel erscheint als Information; ohne Treffer gibt es weder Auffälligkeit noch Lob, weil die Messung keine Aussage erlaubt.

Warum

Kommen Ihre Mails unverändert an? Mit DKIM signiert der sendende Server jede Mail; der Empfänger prüft die Signatur mit dem öffentlichen Schlüssel aus dem DNS. Zusammen mit DMARC weist DKIM nach, dass eine Mail wirklich von Ihrer Domain stammt.

Wie beheben

Aktivieren Sie die DKIM-Signatur bei Ihrem E-Mail-Anbieter und bei jedem weiteren Versanddienst. Der Anbieter nennt Selektor und Schlüssel, die Sie als TXT- oder CNAME-Eintrag veröffentlichen. Ob DKIM wirkt, zeigt der Kopf einer empfangenen Mail (Zeile „Authentication-Results“, Wert dkim=pass).

Nebenwirkung: Entfernen Sie einen alten Schlüssel erst, wenn kein Dienst mehr damit signiert, sonst scheitert die Prüfung bei diesen Mails. Schlüssel mit 2048 Bit sind länger als 255 Zeichen und müssen im TXT-Eintrag in mehrere Zeichenketten geteilt werden; manche DNS-Oberflächen erledigen das selbst.

Codebeispiel

DNS-Eintrag (TXT)

selector1._domainkey.beispiel.de.  3600  IN  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…"

Ergebnis in einer empfangenen Mail

Authentication-Results: mx.example.com;
       dkim=pass header.d=beispiel.de header.s=selector1

Weiterführende Quellen

• https://www.rfc-editor.org/rfc/rfc6376.html