Woher bekomme ich den DKIM-Selector?

Aus dem Header einer versendeten E-Mail: Feld s= in der DKIM-Signature-Zeile. Gängige Werte sind default, s1, google, k1, dkim oder ein Datum. Lässt man das Feld hier leer, probiert das Werkzeug die üblichen Selektoren selbst durch.

DKIM-Record wird nicht gefunden, was bedeutet das?

Entweder ist DKIM für die Domain nicht eingerichtet, oder der tatsächlich verwendete Selector steht nicht auf der Probierliste. Sicherheit gibt nur der Blick in den DKIM-Signature-Header einer echten Mail: den dort genannten Selector oben ins Feld eintragen und erneut prüfen.

Welche Schlüssellänge sollte DKIM haben?

Mindestens 1024 Bit (RFC 8301), empfohlen 2048 Bit. Kürzere Schlüssel gelten als unsicher und werden von einigen Providern abgelehnt. Ed25519 (RFC 8463) ist eine kurze, moderne Alternative, wird aber noch nicht überall unterstützt, weshalb man RSA parallel behält.

Was bedeutet ein leerer p=-Wert?

Der Schlüssel wurde widerrufen. Signaturen mit diesem Selector schlagen dann fehl. Der Eintrag sollte erst entfernt werden, wenn keine alten Mails mit diesem Selector mehr unterwegs sind.

Was bedeutet t=y im DKIM-Record?

Testmodus: Empfänger behandeln Mail so, als wäre sie nicht signiert, und erzwingen die Signatur nicht. Gedacht für die Einführungsphase. Im Regelbetrieb gehört das Flag entfernt.

Sollte ich DKIM-Schlüssel rotieren?

Ja, in Abständen von einigen Monaten. Praktisch geht das mit zwei Selektoren im Wechsel: neuen Schlüssel veröffentlichen, Versand darauf umstellen, nach einer Übergangszeit den alten Record löschen. Viele Anbieter erledigen das automatisch, wenn der Record als CNAME auf sie zeigt.

DKIM Lookup

DKIM-Public-Key abfragen, echte Schlüssellänge und Record-Status prüfen.

DKIM (DomainKeys Identified Mail) versieht ausgehende E-Mails mit einer kryptografischen Signatur über ausgewählte Header und den Nachrichtenrumpf. Der passende öffentliche Schlüssel steht als TXT-Record im DNS unter <selector>._domainkey.<domain>. Ein Empfänger liest den Selector aus dem DKIM-Signature-Header der Mail (Feld s=), holt den Schlüssel und prüft, ob die Signatur trägt. DKIM ist die zweite Säule unter DMARC und übersteht, anders als SPF, auch Weiterleitungen und Mailinglisten.

Was dieses Werkzeug prüft

Bei bekanntem Selector fragt es genau diesen Record ab; bleibt das Feld leer, probiert es eine kuratierte Liste gängiger Selektoren parallel durch und zeigt jeden Treffer als eigenen Zweig. Der Schlüssel wird nicht geschätzt, sondern dekodiert und exakt vermessen: RSA-Bitlänge, Ed25519, Public-Exponent. Geprüft werden außerdem die Tag-Syntax nach RFC 6376 §3.6.1 (v, k, h, p, s, t, g, n), ein leeres p= (widerrufener Schlüssel), der Testmodus t=y, der veraltete g-Tag und die TTL des Records.

Das Ergebnis lesen

Grün steht für einen gefundenen Record mit gültiger Syntax und einem Schlüssel von mindestens 1024 Bit, üblich sind 2048 Bit. Gewarnt wird bei Schlüsseln unter 1024 Bit, bei t=y (Empfänger erzwingen die Signatur dann nicht), bei veralteten oder unbekannten Tags und bei h=sha1. Ein leeres p= wird als widerrufener Schlüssel gemeldet. Wird bei leerem Selector-Feld nichts gefunden, heißt das nicht zwingend, dass DKIM fehlt: der verwendete Selector kann schlicht nicht auf der Probierliste stehen.

Grundlagen

Maßgeblich ist RFC 6376. Das Format des Key-Records steht in §3.6.1, der Aufbau des DKIM-Signature-Headers in §3.5, die Kanonisierung (relaxed/simple) in §3.4. RFC 8301 hebt die Mindestschlüssellänge auf 1024 Bit an und verbietet SHA-1, RFC 8463 führt Ed25519-Schlüssel ein.

Typische Fehlerbilder und wie man sie behebt

DKIM-Record fehlt. Erst die Signierung beim Mailserver oder Versanddienst aktivieren, dabei wird ein Selector vergeben. Den vom Dienst genannten TXT-Record exakt so ins DNS setzen (oft als CNAME auf den Anbieter, damit der Schlüssel dort rotiert werden kann) und anschließend eine Testmail an sich selbst prüfen.
Signatur schlägt fehl, Record ist aber da. Meist stimmt der veröffentlichte Schlüssel nicht mehr mit dem privaten Schlüssel des Versenders überein (Rotation nur auf einer Seite) oder ein DNS-Anbieter hat den langen p=-Wert umgebrochen und dabei verändert. Record neu aus der Anbieter-Vorlage setzen.
Schlüssel zu kurz. 512- oder 768-Bit-Schlüssel werden abgelehnt. Beim Dienst einen 2048-Bit-Schlüssel erzeugen lassen und den neuen Record veröffentlichen, den alten Selector erst nach der Umstellung entfernen.
Dauerhaft im Testmodus. t=y ist nur für die Einführung gedacht. Sobald die Signatur zuverlässig trägt, das Flag entfernen, sonst ignorieren manche Empfänger die Signatur für die DMARC-Bewertung.
Mehrere Selektoren, einer widerrufen. Ein leeres p= gehört erst gelöscht, wenn keine Mail mit diesem Selector mehr unterwegs ist (üblich: einige Tage nach der Rotation).

Häufige Fragen

Woher bekomme ich den DKIM-Selector?: Aus dem Header einer versendeten E-Mail: Feld s= in der DKIM-Signature-Zeile. Gängige Werte sind default, s1, google, k1, dkim oder ein Datum. Lässt man das Feld hier leer, probiert das Werkzeug die üblichen Selektoren selbst durch.
DKIM-Record wird nicht gefunden, was bedeutet das?: Entweder ist DKIM für die Domain nicht eingerichtet, oder der tatsächlich verwendete Selector steht nicht auf der Probierliste. Sicherheit gibt nur der Blick in den DKIM-Signature-Header einer echten Mail: den dort genannten Selector oben ins Feld eintragen und erneut prüfen.
Welche Schlüssellänge sollte DKIM haben?: Mindestens 1024 Bit (RFC 8301), empfohlen 2048 Bit. Kürzere Schlüssel gelten als unsicher und werden von einigen Providern abgelehnt. Ed25519 (RFC 8463) ist eine kurze, moderne Alternative, wird aber noch nicht überall unterstützt, weshalb man RSA parallel behält.
Was bedeutet ein leerer p=-Wert?: Der Schlüssel wurde widerrufen. Signaturen mit diesem Selector schlagen dann fehl. Der Eintrag sollte erst entfernt werden, wenn keine alten Mails mit diesem Selector mehr unterwegs sind.
Was bedeutet t=y im DKIM-Record?: Testmodus: Empfänger behandeln Mail so, als wäre sie nicht signiert, und erzwingen die Signatur nicht. Gedacht für die Einführungsphase. Im Regelbetrieb gehört das Flag entfernt.
Sollte ich DKIM-Schlüssel rotieren?: Ja, in Abständen von einigen Monaten. Praktisch geht das mit zwei Selektoren im Wechsel: neuen Schlüssel veröffentlichen, Versand darauf umstellen, nach einer Übergangszeit den alten Record löschen. Viele Anbieter erledigen das automatisch, wenn der Record als CNAME auf sie zeigt.