Was ist ein DKIM-Selector?

Der Selector ist ein frei gewählter Name, der den Schlüssel unter deiner Domain eindeutig macht. Er ermöglicht mehrere Schlüssel parallel, etwa beim Wechsel.

Wo trage ich den DKIM-Schlüssel ein?

Als TXT-Record unter selector._domainkey.deine-domain.de. Der Wert beginnt mit v=DKIM1 und enthält den öffentlichen Schlüssel im Feld p=.

Warum meldet der Test, der Schlüssel sei nicht gefunden, obwohl der Record existiert?

Ein zwischengespeicherter Negativ-Eintrag im DNS kann eine frische Änderung verdecken. sender.report fragt deshalb zusätzlich externe Resolver ab und erlaubt eine Neuabfrage per Klick.

DKIM prüfen und einrichten: Selector, Schlüssellänge und typische Fehler

DKIM (DomainKeys Identified Mail) versieht jede Mail mit einer Signatur. Den passenden öffentlichen Schlüssel hinterlegst du im DNS, und der Empfänger prüft damit, dass die Mail von deiner Domain stammt und unterwegs unverändert blieb.

Wie DKIM funktioniert

Dein Mailserver signiert ausgehende Mails mit einem privaten Schlüssel und schreibt die Signatur in den Header DKIM-Signature. Darin stehen die Domain (d=) und der Selector (s=). Aus beiden ergibt sich der Name des DNS-Eintrags, in dem der öffentliche Schlüssel liegt.

dkim._domainkey.example.org.  IN TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A…"

Empfehlungen

RSA-Schlüssel mit 2048 Bit verwenden. 1024 Bit gelten noch als gültig, Gmail und andere empfehlen 2048.
Mit rsa-sha256 signieren. rsa-sha1 ist laut RFC 8301 veraltet.
Die Signatur-Domain (d=) sollte zur sichtbaren From-Domain passen, damit DKIM für DMARC zählt.
Schlüssel gelegentlich wechseln und dafür einen neuen Selector anlegen.

Häufige Fehler

Der Schlüssel fehlt im DNS oder liegt unter einem anderen Selector, als die Signatur nennt.
Der Record enthält mehrere TXT-Einträge, ein leeres p= (widerrufener Schlüssel) oder Zeilenumbrüche und Anführungszeichen, die beim Einfügen im DNS-Panel mitkopiert wurden.
Der Inhalt wurde nach dem Signieren verändert, etwa durch einen Footer, einen Disclaimer oder eine Mailingliste. Dann stimmt der Body-Hash nicht mehr.
Das Tag l= (Body-Length) lässt zu, dass Inhalt angehängt wird, und wird von strengen Prüfern abgelehnt.

So prüfst du es

Sende eine Testmail an sender.report. Der Bericht nennt Selector, Domain und den abgefragten DNS-Namen und sagt, ob der Record fehlt, fehlerhaft ist oder der DNS-Server nicht geantwortet hat. Nach einer Änderung im DNS fragst du mit einem Klick alles neu ab.

DKIM prüfen und einrichten