Anders als SPF oder DMARC wird ein DKIM-Eintrag nicht an einem einzigen, vorhersehbaren Ort veröffentlicht – er liegt unter einem Selektor. Das macht DKIM-Lookups knifflig, und genau das automatisiert dieses Tool.
Wie ein DKIM-Lookup funktioniert
Ein öffentlicher DKIM-Schlüssel wird als TXT-Eintrag unter selector._domainkey.yourdomain.com veröffentlicht. Um ihn nachzuschlagen, benötigen Sie zwei Dinge: die Domain und den Selektor. Der Selektor ist eine Bezeichnung, die von dem Dienst gewählt wird, der Ihre Mail signiert, sodass eine einzelne Domain mehrere DKIM-Einträge haben kann – einen pro sendendem Dienst – jeweils unter einem anderen Selektor.
Den richtigen Selektor finden
Der Selektor erscheint im DKIM-Signature-Header jeder signierten Nachricht Ihrer Domain, als s=-Tag. Wenn Sie die Rohheader einer gesendeten Nachricht öffnen können, ist das der sicherste Weg, ihn zu finden. Wenn nicht, scannt die Auto-Erkennung die Selektoren, die Anbieter üblicherweise verwenden, zum Beispiel:
- Google Workspace –
google - Microsoft 365 –
selector1undselector2 - SendGrid –
s1unds2 - Mailchimp –
k1
Einen DKIM-Eintrag lesen
Ein DKIM-Eintrag sieht so aus:
v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GN...
Das v=DKIM1-Tag kennzeichnet ihn, k=rsa ist der Schlüsseltyp, und p= ist der Base64-kodierte öffentliche Schlüssel, mit dem Empfänger Signaturen verifizieren. Ein leeres p= bedeutet, dass der Schlüssel widerrufen wurde. Der empfangende Server ruft diesen Schlüssel ab, prüft ihn gegen die Signatur der Nachricht und lässt DKIM nur bestehen, wenn beide übereinstimmen und die Nachricht während der Übertragung nicht verändert wurde.
Was eine DKIM-Prüfung bestätigt
- Der Schlüssel ist veröffentlicht am erwarteten Selektor und ist nicht widerrufen.
- Der Schlüssel ist stark genug – 2048 Bit sind der moderne Standard; 1024-Bit-Schlüssel sollten aufgestuft werden.
- Der Eintrag ist wohlgeformt, ohne störende Zeichen, welche die Verifizierung stören würden.
DKIM, SPF und DMARC arbeiten zusammen
DKIM beweist, dass eine Nachricht nicht verändert wurde, SPF beweist, dass der sendende Server autorisiert ist, und DMARC verknüpft beides mit Ihrer sichtbaren From-Adresse und legt die Durchsetzungsrichtlinie fest. DMARC kann allein über die DKIM-Ausrichtung bestehen, was einen gültigen DKIM-Eintrag zu einer robusten zweiten Verteidigungslinie der Authentifizierung macht – besonders bei weitergeleiteter Mail, bei der SPF oft bricht. Halten Sie alle drei gesund: AutoSPF pflegt die SPF-Seite automatisch, ein SPF-Syntax-Validator findet Eintragsfehler, bevor Empfänger es tun, und unser DKIM-Leitfaden deckt den Rest ab.