Was ist DKIM?
DKIM (DomainKeys Identified Mail) ist eine Signatur, die der sendende Server jeder Nachricht mit einem privaten Schlüssel hinzufügt. Der passende öffentliche Schlüssel liegt als DNS-TXT-Eintrag unter selector._domainkey.ihredomain, und Empfänger bestätigen damit, dass signierte Header und Inhalt unterwegs nicht verändert wurden. RFC 6376 definiert DKIM.
Das Ergebnis lesen
Über DNS lässt sich nicht abfragen, welche Selektoren eine Domain nutzt. Dieses Tool prüft daher die 21 Selektoren, mit denen gängige Provider signieren, und meldet jeden gefundenen Schlüssel: Typ, Länge in Bit und ob er widerrufen wurde. Unter 1024 Bit gilt als kritisch, unter 2048 als Warnung. Ein eigener Selektor erscheint hier nicht.
Beat läuft auf derselben Engine, nach Zeitplan, über alle 41 Prüfungen und 25 Blacklists. Was Beat hinzufügt: immer wieder nachfragen, bemerken, wenn sich eine Antwort ändert, und Ihnen sagen, was zu tun ist.
Häufige Probleme mit DKIM-Schlüsseln
Kein Schlüssel auf einem gängigen Selektor
Entweder signiert die Domain nicht, oder sie signiert mit einem eigenen Selektor. Das s=-Tag im DKIM-Signature-Header einer von Ihnen gesendeten Nachricht nennt den tatsächlichen.
Ein Schlüssel unter 2048 Bit
RFC 8301 verlangt mindestens 1024 Bit und empfiehlt 2048. Ein 1024-Bit-Schlüssel wird weiterhin verifiziert, ist aber der schwächere. Wechseln Sie auf 2048, sobald Ihr Provider es erlaubt.
Ein widerrufener Schlüssel
Ein leeres p=-Tag bedeutet, dass der Schlüssel absichtlich zurückgezogen wurde. Jede Nachricht, die noch mit diesem Selektor signiert ist, scheitert an DKIM.
Ein Schlüssel, der sich nicht parsen lässt
Lange Schlüssel werden oft mit überzähligen Anführungszeichen, Leerzeichen oder Zeilenumbrüchen eingefügt oder von einer DNS-Oberfläche falsch aufgeteilt. Ein Schlüssel, der sich nicht parsen lässt, scheitert genau wie ein fehlender.