DKIM prüfen: die Schlüssel, mit denen eine Domain ihre E-Mails signiert

Mit DKIM signiert eine Domain ihre E-Mails mit einem im DNS veröffentlichten Schlüssel, damit empfangende Server prüfen können, ob eine Nachricht von dieser Domain stammt und nicht verändert wurde. Jeder Schlüssel liegt unter einem Namen, dem sogenannten Selektor. Geben Sie eine Domain ein und, falls Sie ihn kennen, den Selektor; ohne Selektor probieren wir 33 gängige aus.

Als bevorzugte Quelle hinzufügen Herunterladen imGoogle Play Herunterladen imApp Store

Der Selektor ist der Wert „s=“ im Header „DKIM-Signature“ einer E-Mail, die von dieser Domain gesendet wurde. Lassen Sie das Feld leer, um die gängigen auszuprobieren.

So finden Sie den Selektor

Öffnen Sie eine E-Mail, die von dieser Domain gesendet wurde, und lassen Sie sich das Original oder die Header anzeigen (in Gmail: die drei Punkte, dann „Original anzeigen“).
Suchen Sie den Header „DKIM-Signature“: „d=“ ist die Domain und „s=“ der Selektor, zum Beispiel s=selector1.
Geben Sie die Domain und den Selektor ein und klicken Sie auf „DKIM prüfen“. Ohne Selektor probieren wir 33 gängige aus, etwa default, google, selector1 oder k1.

Was jedes Ergebnis bedeutet

Die Domain signiert ihre E-Mails mit DKIM: Wir haben ihren öffentlichen Schlüssel gefunden: Empfangende Server können prüfen, ob ihre Nachrichten von dieser Domain stammen und unterwegs nicht verändert wurden.
Es gibt DKIM-Schlüssel, mit Warnungen: Wir haben mindestens einen Schlüssel gefunden, aber einige sind zurückgezogen, im Test oder zu schwach. Die Details stehen unter jedem Schlüssel.
Kein DKIM-Schlüssel bei den gängigen Selektoren: Das beweist nicht, dass die Domain kein DKIM nutzt: Möglicherweise verwendet sie einen anderen Selektor. Sie finden ihn im Header „DKIM-Signature: s=“ einer E-Mail, die Ihnen die Domain geschickt hat. Geben Sie ihn unter „Selektor“ ein und prüfen Sie erneut.
Kein DKIM-Schlüssel bei diesem Selektor: Prüfen Sie die Schreibweise: Der Selektor ist der Wert „s=“ im Header „DKIM-Signature“, und die Domain ist dessen Wert „d=“.

Was jedes Signal bedeutet

Der Schlüssel ist leer (p=): Dieser Selektor ist zurückgezogen und signiert keine E-Mails mehr.
Der Schlüssel ist im Testmodus (t=y): Die Domain bittet empfangende Server, nichts zu unternehmen, wenn die Signatur fehlschlägt.
Der RSA-Schlüssel ist kürzer als 1024 Bit: Er kann geknackt werden, und viele empfangende Server akzeptieren ihn nicht.
Der RSA-Schlüssel hat 1024 Bit: Er wird noch akzeptiert, empfohlen sind aber 2048.
Der Schlüssel erlaubt nur SHA-1, einen alten Algorithmus, der nicht mehr als sicher gilt.
Der Schlüsseleintrag enthält einen Fehler und kann nicht gelesen werden.
Der Schlüsseltyp ist weder RSA noch Ed25519, daher können empfangende Server ihn nicht verwenden.
Bei keinem der ausprobierten Selektoren gibt es einen Schlüssel.

Welche Länder abgedeckt sind

Funktioniert mit Domains aus jedem Land. Ohne Selektor probieren wir die Standardselektoren der großen Anbieter (Google, Microsoft 365, Zoho, Proton, Fastmail, Mailchimp und andere) und die üblichen allgemeinen Namen aus, insgesamt 33. Die Schlüssel werden so gelesen, wie es empfangende Server tun (RFC 6376): RSA und Ed25519.

Wir lesen die öffentlichen DNS-Einträge der Domain. Wenn Sie eine E-Mail-Adresse oder einen Link eingeben, verlässt nur die Domain Ihren Browser. Die abgefragte Domain wird nicht gespeichert.

Häufige Fragen

Was ist DKIM?

DomainKeys Identified Mail: Der sendende Server signiert jede E-Mail mit einem privaten Schlüssel, und die Domain veröffentlicht den öffentlichen Schlüssel im DNS. Der empfangende Server prüft die Signatur: Passt sie, stammt die E-Mail von dieser Domain und wurde unterwegs nicht verändert.

Was ist ein Selektor?

Der Name, unter dem ein Schlüssel veröffentlicht wird, unter selector._domainkey.example.com. Eine Domain kann mehrere haben, einen pro Anbieter oder pro Schlüsselwechsel. Er erscheint als „s=“ im Header „DKIM-Signature“ jeder E-Mail.

Warum wird kein Schlüssel gefunden, obwohl die Domain DKIM nutzt?

Selektoren können beliebig heißen, und das DNS kann sie nicht auflisten. Wir probieren 33 gängige aus; verwendet die Domain einen anderen, geben Sie ihn unter „Selektor“ ein. Deshalb beweist „nicht gefunden“ nicht, dass es kein DKIM gibt.

Was bedeuten 1024 und 2048 Bit?

Die Größe des RSA-Schlüssels: Je länger, desto schwerer zu knacken. 1024 Bit werden noch akzeptiert, empfohlen sind aber 2048. Unter 1024 ignorieren viele empfangende Server die Signatur.