Was ist ein DKIM-Record?
DKIM fügt Ihren ausgehenden E-Mails eine kryptografische Signatur hinzu; Empfänger prüfen sie gegen einen öffentlichen Schlüssel, den Sie im DNS unter selector._domainkey.ihre-domain veröffentlichen. Da DNS keine Möglichkeit bietet, Selektoren aufzulisten, prüft IPeek die von Google, Microsoft, Amazon SES und anderen großen Anbietern verwendeten Selektoren.
So funktionieren DKIM-Signierung und -Prüfung
Beim Versand signiert Ihr Anbieter ausgewählte Header und den Nachrichtentext mit einem privaten Schlüssel und fügt der Nachricht einen DKIM-Signature-Header hinzu. Der Empfänger liest die Tags d= (Domain) und s= (Selektor) aus diesem Header, ruft den passenden öffentlichen Schlüssel unter selector._domainkey.d ab und prüft die Signatur. Validiert sie, wurde der Inhalt unterwegs nicht verändert und stammt tatsächlich von einem Schlüsselinhaber dieser Domain. Der private Schlüssel bleibt auf dem sendenden Server; nur der öffentliche Schlüssel liegt im DNS.
Selektoren und der öffentliche Schlüssel im DNS
Ein Selektor erlaubt einer Domain, mehrere DKIM-Schlüssel zu veröffentlichen – nützlich für die Rotation oder für verschiedene Versanddienste. Der öffentliche Schlüssel ist ein TXT-Record unter selector._domainkey.ihre-domain, etwa google._domainkey.example.com, der v=DKIM1; k=rsa; p=<base64-öffentlicher-Schlüssel> enthält. Da DNS kein Verzeichnis der Selektoren bietet, können Sie nicht einfach abfragen, welche eine Domain verwendet. Deshalb prüft IPeek die gängigen Selektoren von Google (google), Microsoft, Amazon SES und anderen großen Anbietern, um Ihre veröffentlichten Schlüssel zu finden.
Wie DKIM mit SPF und DMARC zusammenhängt
DKIM ist die Inhalts-Authentifizierungsebene der drei. Während SPF sendende Hosts per IP autorisiert, beweist DKIM kryptografisch, dass Header und Nachrichtentext nicht manipuliert wurden, und verknüpft sie mit einer signierenden Domain. DMARC prüft anschließend, ob die signierende DKIM-Domain mit der sichtbaren From-Adresse übereinstimmt. DKIM hat einen entscheidenden Vorteil gegenüber SPF: Da die Signatur mit der Nachricht reist, übersteht sie das Weiterleiten, bei dem SPF oft bricht. Für eine starke Zustellbarkeit sollten Sie DKIM veröffentlichen und es unter DMARC ins Alignment bringen.