DKIM nutzt Public-Key-Kryptografie, um nachzuweisen, dass eine Nachricht nicht verändert wurde und zur signierenden Domain gehört.
Schlüssellängen: RFC 8301 empfiehlt 2048-Bit-RSA als Standard. Ed25519 gibt es zwar, doch die großen Provider prüfen es noch nicht.
Der DKIM-Signature-Header enthält:
d=: signierende Domain (für das DMARC-Alignment)s=: Name des Selektorsc=: Kanonisierung (verwenden Sierelaxed/relaxed)h=: signierte Header (mussfromenthalten)bh=: Body-Hashb=: Signatur
Schlüsselrotation: alle 6-12 Monate. Veröffentlichen Sie den neuen Schlüssel und lassen Sie den alten noch 1-2 Wochen aktiv.
Häufige DKIM-Fehler:
- Selektor und DNS passen nicht zusammen
- Body wird von Mailinglisten verändert
- 2048-Bit-Schlüssel überschreiten die Längengrenze für DNS-Strings
fromfehlt imh=-Tag
Melden Sie sich an, um festzuhalten, was Sie gelesen haben.