Sie wollen einen DKIM-Schlüssel prüfen, rotieren oder herausfinden, warum Signaturen fehlschlagen, und das Erste, wonach jedes Tool fragt, ist der Selektor, ein kurzer Name, den niemand aufgeschrieben hat. Der Selektor bestimmt, welcher DNS-Record den öffentlichen Schlüssel enthält, ohne ihn können Sie den Record also nicht abfragen. Dieser Leitfaden zeigt, wie Sie den Selektor aus einer echten Nachricht lesen, was Sie ohne Nachricht versuchen können, wie lang Ihr Schlüssel sein sollte und wie Sie einen Schlüssel rotieren, ohne dass die Signierung eine Lücke hat.
Die kurze Antwort#
Der Selektor ist der Wert des s=-Tags im DKIM-Signature-Header jeder Nachricht, die Ihre Domain gesendet hat. Öffnen Sie die vollständigen Header einer Nachricht, suchen Sie DKIM-Signature: und lesen Sie s= für den Selektor und d= für die signierende Domain. Der öffentliche Schlüssel liegt dann in einem TXT-Record unter selector._domainkey.d, zum Beispiel mail._domainkey.example.com. Haben Sie keine Nachricht zur Hand, fragen Sie Ihren Versandanbieter nach dem DNS-Record, den Sie laut Anbieter veröffentlichen sollten, denn der Selektor ist der erste Teil seines Namens. Ihr Schlüssel sollte 2048-Bit-RSA sein: RFC 8301 verlangt mindestens 1024 und sagt, Signierer sollten mindestens 2048 verwenden. Der E-Mail-Header-Analyzer zeigt, ob DKIM bestanden hat und ob eine Signatur vorhanden ist, aber s= und d= lesen Sie selbst aus der Zeile DKIM-Signature. Bestätigen Sie dann die DNS-Seite mit dem SPF-, DKIM- und DMARC-Checker.
Den Selektor aus einem Nachrichten-Header lesen#
Senden Sie sich selbst eine E-Mail von jedem System, das als Ihre Domain sendet, etwa Ihrem Mailbox-Anbieter, Ihrer Marketing-Plattform, Ihrem Transaktionsdienst und Ihrem Helpdesk. Öffnen Sie in der empfangenen Kopie den Originaltext oder die Header. In Gmail verwenden Sie das Nachrichtenmenü und wählen „Original anzeigen“. Suchen Sie die Zeile, die mit DKIM-Signature: beginnt.
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
d=example.com; s=mail2026; t=1730700000;
h=from:to:subject:date; bh=...; b=...
Hier ist d=example.com die Domain, die signiert hat, und s=mail2026 der Selektor. Der Schlüssel liegt daher unter:
mail2026._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
Fragen Sie ihn direkt ab, um es zu bestätigen:
dig +short TXT mail2026._domainkey.example.com
Auf zwei Dinge sollten Sie achten. Eine Nachricht kann mehr als eine DKIM-Signature tragen, zum Beispiel eine von Ihrer eigenen Domain und eine von der Domain des Versanddienstes. Sehen Sie sich jeden d=-Wert an. Und achten Sie darauf, ob d= überhaupt Ihre Domain ist. Viele Plattformen signieren standardmäßig mit ihrer eigenen Domain, was DKIM besteht, aber für DMARC nicht mit Ihrer From-Adresse im Alignment steht. Ist d= nicht Ihre Domain, ist der Absender noch nicht für Ihre Domain eingerichtet, und die daraus folgenden Alignment-Fehler lassen sich leicht mit einem DNS-Problem verwechseln.
Was tun, wenn Sie keine Nachricht haben#
Manchmal gibt es nichts zu öffnen: Sie haben eine Domain geerbt, der Absender ist inaktiv, oder Sie wollen vor dem Versand prüfen. Dann haben Sie drei Möglichkeiten.
- Sehen Sie auf der Einrichtungsseite des Anbieters nach. Als Sie eine Domain bei einem Absender authentifiziert haben, sollten Sie einen CNAME- oder TXT-Record veröffentlichen. Sein Name beginnt mit dem Selektor, zum Beispiel
selector._domainkey. Dieser Record, der noch in Ihrer DNS-Zone steht, ist die Antwort. - Lesen Sie Ihre DNS-Zone. Suchen Sie Namen, die auf
._domainkeyenden. Das Label davor ist ein Selektor. Die Record-Liste Ihres DNS-Hosts oder ein Zonenexport zeigt sie alle, und das ist der einzige Ort, an dem Sie aufzählen können, was existiert. - Raten Sie anhand üblicher Namen. Anbieter verwenden vorhersehbare Standardwerte, und ein Tool kann sie für Sie durchprobieren. Die Domain-Zustand-Überwachung von Qualisend prüft 25 gängige Namen, wenn Sie keine Selektoren konfiguriert haben:
google,selector1,selector2,k1,k2,s1,s2,dkim,default,mail,smtp,mandrill,sendgrid,krs,protonmail,zendesk1,zendesk2,mxvault,everlytickey1,hs1,hs2,pm,fm1,fm2undfm3. Ein Treffer sagt Ihnen, dass ein Schlüssel existiert. Ein Fehlschlag sagt nichts, denn eigene Selektoren wiemail2026bleiben beim Raten unsichtbar.
Raten ist eine Notlösung. Alles, worauf Sie sich verlassen, sollte mit seinem Selektor notiert sein, weshalb der erste Schritt einer Routine für den Domain-Zustand darin besteht, jeden Absender und seinen Selektor aufzulisten.
Aufbau eines DKIM-Schlüssel-Records#
Der Record im DNS ist eine Liste von Tags, und es hilft zu wissen, was jedes davon bewirkt.
| Tag | Bedeutung | Worauf Sie achten sollten |
|---|---|---|
v=DKIM1 | Version | Optional, aber wenn vorhanden, muss es DKIM1 sein |
k= | Schlüsseltyp | Standard ist rsa; ed25519 kommt ebenfalls vor |
p= | Öffentlicher Schlüssel, Base64 | Muss Daten enthalten. Ein leeres p= bedeutet, dass der Schlüssel widerrufen ist |
t=y | Test-Flag | Markiert die Domain als DKIM-Testbetrieb; entfernen Sie es, sobald Sie live sind |
Viele Anbieter veröffentlichen am Selektornamen einen CNAME, der auf einen von ihnen gehosteten Schlüssel zeigt, der Record, den Sie sehen, kann also ein Alias sein. Das ist normal: So kann der Anbieter Schlüssel für Sie rotieren. Es bedeutet aber auch, dass Ihr Selektor stillschweigend nicht mehr auflöst, wenn der Anbieter das Ziel entfernt.
Schlüssellänge: 1024 oder 2048#
RFC 8301 legt die Regeln fest. Signierer müssen RSA-Schlüssel von mindestens 1024 Bit verwenden und sollten mindestens 2048 verwenden. Verifizierer dürfen Schlüssel unter 1024 nicht als gültig behandeln. Die Absenderrichtlinien von Google stimmen überein: 1024 ist das Minimum, 2048 wird empfohlen. Ein 1024-Bit-Schlüssel funktioniert also weiterhin, und genau deshalb überlebt er oft jahrelang. Er ist das Erste, was ein Upgrade verdient.
Es gibt einen praktischen Haken. Ein öffentlicher 2048-Bit-Schlüssel ist länger als die 255 Zeichen, die ein einzelner DNS-String fassen kann. Der Record muss als mehrere Strings in Anführungszeichen innerhalb eines TXT-Records veröffentlicht werden, die das DNS wieder zusammenfügt.
mail2026._domainkey.example.com. TXT ( "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
"...rest-of-the-key..." )
Die meisten DNS-Hosts erledigen das automatisch, wenn Sie den vollständigen Wert einfügen, aber nicht alle, und die Fehler sind unauffällig: Ein abgeschnittener Schlüssel oder einer mit verirrten Zeichen scheitert bei der Verifizierung, obwohl der Record existiert. Fragen Sie ihn nach dem Veröffentlichen ab und vergleichen Sie die Länge. Die Anleitungen für DNS-Anbieter zeigen, wie einzelne Hosts mit langen Werten umgehen.
Wenn ein Dienst Ihren Schlüssel erzeugt, wählen Sie die Länge meist in dessen Einstellungen beim Erstellen, und eine Änderung bedeutet, einen neuen Schlüssel und einen neuen Selektor zu erzeugen, also eine Rotation.
Einen Schlüssel ohne Lücke rotieren#
Rotation bedeutet, einen Schlüssel durch einen neuen mit neuem Selektor zu ersetzen. Kein Gesetz schreibt vor, wie oft. Wir würden raten, zu rotieren, wenn ein Schlüssel unter 2048 Bit liegt, wenn jemand mit Zugriff auf den privaten Schlüssel das Unternehmen verlässt, bei jedem Verdacht auf Offenlegung und ansonsten nach einem Zeitplan, den Ihr Team tatsächlich einhält, etwa ein- oder zweimal im Jahr. Das Vorgehen ist wichtiger als der Rhythmus.
- Erzeugen Sie den neuen Schlüssel bei Ihrem Anbieter oder auf Ihrem eigenen Mailserver, mit einem neuen Selektornamen wie
mail2027. Verwenden Sie den alten Namen nie wieder. - Veröffentlichen Sie den neuen Record im DNS und warten Sie, bis öffentliche Resolver ihn zurückgeben. Prüfen Sie mit
dig, bevor Sie irgendetwas anderes tun. - Stellen Sie die Signierung im Versandsystem auf den neuen Selektor um. Ab jetzt tragen Nachrichten
s=mail2027. - Lassen Sie den alten Record eine Weile bestehen. Mit dem alten Schlüssel signierte Nachrichten können noch unterwegs oder in der Warteschlange sein, und Empfänger verifizieren beim Empfang, nicht beim Versand. Eine Woche ist eine übliche, vorsichtige Wartezeit.
- Stellen Sie den alten Schlüssel außer Dienst, indem Sie den Record löschen oder mit leerem
p=veröffentlichen, um zu zeigen, dass er absichtlich widerrufen ist. - Bestätigen Sie, indem Sie eine Testnachricht senden und prüfen, dass
s=den neuen Selektor zeigt und DKIM besteht.
Der häufigste Fehler ist, Schritt 5 vor Schritt 3 auszuführen oder Schritt 2 ganz zu überspringen, sodass E-Mails mit einem Selektor signiert werden, der keinen Schlüssel hat.
Einen Selektor über die Zeit beobachten#
Ein DKIM-Record bricht leicht, und niemand bemerkt es. Ein zu früh entfernter alter Schlüssel, ein CNAME, dessen Ziel verschwunden ist, ein Schlüssel, der bei einer übereifrigen Bereinigung widerrufen wurde: Jedes davon führt dazu, dass E-Mails mit einem Selektor signiert werden, der nicht mehr auflöst. Mit der Domain-Zustand-Überwachung können Sie bis zu 10 DKIM-Selektoren pro Domain eintragen und sie jeden Tag prüfen lassen. Für jeden bestätigt sie, dass ein Schlüssel vorhanden ist, liest die RSA-Schlüsselgröße und markiert einen fehlenden oder widerrufenen Schlüssel als Problem mit Schweregrad „bad“, einen 1024-Bit-Schlüssel als Warnung, alles Kürzere als „bad“ und das Test-Flag t=y als Warnung. Konfigurieren Sie keinen, greift sie auf die 25 oben genannten gängigen Namen zurück und warnt, wenn keiner einen Schlüssel liefert.
Denken Sie an die Folge für die Rotation. Sobald Sie einen alten Selektor außer Dienst stellen, entfernen Sie ihn auch aus der überwachten Liste, sonst meldet sie einen fehlenden Schlüssel. Und eine Grenze: Sie liest DNS, kann also nicht sehen, mit welchem Selektor Ihre E-Mails tatsächlich signiert werden, und alarmiert nicht beim Alter eines Schlüssels. Das größere Bild, einschließlich SPF und DMARC, steht in E-Mail-Domain-Zustand überwachen, und die SPF-Seite derselben Prüfungen in SPF: zu viele DNS-Abfragen. DMARC einrichten behandelt, wie das Alignment die d=-Domain verwendet.
Häufig gestellte Fragen
01Wie finde ich meinen DKIM-Selektor?
Öffnen Sie die vollständigen Header einer Nachricht, die Ihre Domain gesendet hat, und lesen Sie das s=-Tag im DKIM-Signature-Header. Der Schlüssel ist unter selector._domainkey.yourdomain.com veröffentlicht. Haben Sie keine Nachricht, prüfen Sie den DNS-Record, den Sie laut Ihrem Absender veröffentlichen sollten.
02Welche DKIM-Schlüssellänge sollte ich verwenden?
Verwenden Sie 2048-Bit-RSA. RFC 8301 verlangt, dass Signierer mindestens 1024 Bit verwenden, und sagt, sie sollten mindestens 2048 verwenden; Google empfiehlt 2048. Ein 1024-Bit-Schlüssel funktioniert noch, ist aber der erste, den Sie aktualisieren sollten.
03Wie oft sollte ich DKIM-Schlüssel rotieren?
Es gibt keinen vorgeschriebenen Rhythmus. Rotieren Sie, wenn ein Schlüssel kürzer als 2048 Bit ist, wenn jemand mit Zugriff ausscheidet, bei Verdacht auf Offenlegung und ansonsten nach einem Zeitplan, den Sie einhalten, etwa ein- oder zweimal im Jahr. Lassen Sie alten und neuen Schlüssel überlappen.
04Kann ich alle DKIM-Selektoren einer Domain auflisten?
Nein. DNS bietet keine Möglichkeit, die Namen unter _domainkey aufzulisten. Sie können Selektoren aus Nachrichten-Headern, von den Einrichtungsseiten Ihrer Absender oder aus Ihrer DNS-Zone ablesen, und ein Checker kann nur gängige Namen raten, eigene Selektoren findet er also nicht.
DKIM beweist, dass eine Nachricht wirklich von Ihrer Domain kam, nicht dass die Adresse am anderen Ende echt ist. Der kostenlose E-Mail-Checker testet jeweils eine Adresse auf Syntax, MX-Records und Tippfehler. Um eine ganze Liste zu bereinigen, enthält der kostenlose Tarif auf der Preisseite 100 Credits, die die vollständige Verifizierung durchführen, denn eine korrekt signierte Nachricht braucht weiterhin eine gesunde Liste, um den Posteingang zu erreichen.
