Was DKIM macht
DKIM versieht jede Mail mit einer digitalen Signatur. Empfänger erkennen daran, dass die Mail wirklich von deiner Domain kommt und unterwegs nicht verändert wurde.
So funktioniert es
DKIM (DomainKeys Identified Mail) arbeitet mit einem Schlüsselpaar. Der private Schlüssel bleibt beim sendenden System und signiert jede Mail. Der öffentliche Schlüssel steht als TXT-Record im DNS; damit prüft der Empfänger die Signatur.
Der Schlüssel liegt unter <selektor>._domainkey.<deine Domain>. Den Selektor, einen Namen wie selector1 oder google, bestimmt das sendende System. Jeder Dienst, über den du sendest, bekommt seinen eigenen Schlüssel und Selektor.
Selektoren lassen sich von außen nicht auflisten. Ein Check ohne Testmail kann deshalb nur gängige Namen probieren. Gib deinen Selektor an, oder sende eine Testmail: Dort steht er in der Signatur.
Worauf es ankommt
- Schlüssellänge 2048 Bit. 1024 Bit wird noch akzeptiert, kürzere Schlüssel nicht mehr.
- Kein Testmodus. Mit
t=yim Record behandeln Empfänger die Signatur wie nicht vorhanden. - Signieren mit der eigenen Domain. Signiert der Dienst mit seiner Domain statt deiner, besteht DKIM zwar, zählt aber nicht für DMARC.
- Schlüssel wechseln. Lege einen neuen Selektor an, stelle den Versand um und leere danach den alten Record (
p=).
So richtest du es ein
Dein Mail- oder Newsletter-Anbieter zeigt in seiner Verwaltung den Record an, meist als TXT oder CNAME. Trage ihn in der DNS-Verwaltung deiner Domain ein, selbst oder über deine Agentur, und schalte danach das Signieren beim Anbieter ein. Mach das für jeden Dienst, der in deinem Namen sendet.