Kostenloser DKIM-Record-Prüfer

DKIM (DomainKeys Identified Mail) verwendet kryptografische Signaturen, um die Authentizität von E-Mails zu überprüfen.

Ein Selektor ist eine Bezeichnung, mit der mehrere DKIM-Schlüssel auf derselben Domain unterschieden werden (z. B. google, mail, s1).

Ja, völlig kostenlos.

Absolut. Der DKIM-Eintrag-Checker verarbeitet alles clientseitig in Ihrem Browser. Es werden keine Daten auf einen Server hochgeladen oder dort gespeichert. Ihre Inhalte bleiben jederzeit privat auf Ihrem Gerät.

Ja, der DKIM-Eintrag-Checker ist vollständig responsiv und funktioniert auf Smartphones und Tablets. Sie können ihn auf jedem Gerät mit einem modernen Webbrowser nutzen, ohne App-Download.

Es ist kein Konto und keine Registrierung erforderlich. Öffnen Sie einfach den DKIM-Eintrag-Checker in Ihrem Browser und beginnen Sie sofort mit der Nutzung. Es gibt keine Anmeldebarrieren oder Nutzungsbeschränkungen.

Geben Sie einfach Ihre Daten in das vorgesehene Feld ein, passen Sie die Einstellungen nach Wunsch an, und das Tool verarbeitet sie sofort. Anschließend können Sie das Ergebnis in die Zwischenablage kopieren oder herunterladen.

Der DKIM-Eintrag-Checker funktioniert in allen modernen Browsern, darunter Chrome, Firefox, Safari, Edge und Opera. Für das beste Erlebnis verwenden Sie die neueste Version Ihres bevorzugten Browsers.

Es gibt keinen DNS-Befehl, der alle Selectors einer Domain auflistet, denn DKIM-Einträge liegen unter einem bestimmten Hostnamen – selector._domainkey.ihredomain.com – und Sie können nur einen Namen abfragen, den Sie bereits kennen. Am schnellsten finden Sie Ihren Selector heraus, indem Sie eine kürzlich von Ihrer Domain versendete Nachricht öffnen und den DKIM-Signature-Header lesen: Das s=-Tag ist der Selector. Wenn Sie keine Header sehen können, entspricht der Selector fast immer dem Standardwert Ihrer Versandplattform, etwa google für Google Workspace, k1 oder mandrill für Mailchimp, s1 und s2 für SendGrid oder protonmail für Proton. Dieser Checker listet diese gängigen Selectors als Ein-Klick-Buttons auf, sodass Sie jeden davon in Sekunden ausprobieren können, bis der Eintrag aufgelöst wird, und so bestätigen können, welchen Schlüssel Ihr Anbieter tatsächlich veröffentlicht.

Das p=-Tag enthält den öffentlichen Schlüssel, mit dem empfangende Server Ihre Signaturen prüfen, daher ist ein leeres p= keine harmlose Lücke – es ist ein expliziter Widerruf. Ein p= ohne Wert teilt der Welt mit, dass jeder zuvor mit diesem Selector verknüpfte Schlüssel nicht mehr gültig ist, und Mails, die damit signiert wurden, bestehen die DKIM-Prüfung nicht. Anbieter tun dies absichtlich, wenn sie nach einer Schlüsselrotation einen Selector stilllegen, aber es passiert auch versehentlich, wenn ein Eintrag falsch kopiert oder in einem DNS-Editor abgeschnitten wird. Wenn legitime E-Mails plötzlich die Authentifizierung nicht mehr bestehen, ist ein leerer Schlüssel auf dem aktiven Selector ein Hauptverdächtiger. Dieses Tool markiert ein fehlendes p= als widerrufen statt als gültig, sodass Sie einen toten Schlüssel sofort erkennen und einen neuen Eintrag veröffentlichen können.

Ein 1024-Bit-RSA-Schlüssel erzeugt weiterhin gültige Signaturen und besteht die Authentifizierung auch heute noch, gilt aber nicht mehr als empfohlener Standard. NIST und die meisten großen Mailbox-Anbieter betrachten 2048 Bit inzwischen als Grundanforderung für DKIM, da 1024-Bit-Schlüssel angesichts moderner Rechenleistung als zunehmend angreifbar gelten. Das praktische Risiko besteht darin, dass ein Angreifer, der den Schlüssel faktorisiert, signierte Mails im Namen Ihrer Domain fälschen könnte. Ein Upgrade bedeutet, bei Ihrem E-Mail-Anbieter einen neuen 2048-Bit-Schlüssel zu erzeugen, den neuen öffentlichen Schlüssel unter einem frischen Selector zu veröffentlichen und den alten zu entfernen, sobald der Mailversand sauber läuft. Dieser Checker schätzt die Schlüsselgröße anhand des veröffentlichten öffentlichen Schlüssels und bewertet sie ab 2048 Bit als stark, bei 1024 Bit als ausreichend und darunter als schwach, sodass Sie auf einen Blick sehen, ob Ihr Eintrag ein Upgrade braucht.

Wenn Sie zu einer neuen Versandplattform wechseln, signiert der neue Anbieter Ihre ausgehenden Mails mit seinem eigenen privaten Schlüssel unter seinem eigenen Selector – und dieser Schlüssel funktioniert nur, wenn der passende öffentliche Schlüssel in Ihrem DNS veröffentlicht ist. Fehler entstehen meist, weil der Selector des alten Anbieters noch aktiv ist, während der neue nie hinzugefügt wurde, oder weil der neue TXT-Eintrag falsch eingefügt wurde und der öffentliche Schlüssel fehlerhaft ist. Der empfangende Server sucht den in der Signatur jeder Nachricht genannten Selector, und wenn dieser exakte Hostname keinen gültigen Eintrag hat, schlägt die Verifizierung fehl und DMARC lehnt die Mail möglicherweise stillschweigend ab. Prüfen Sie nach jedem Anbieterwechsel hier den neuen Selector, um zu bestätigen, dass der Eintrag aufgelöst wird und der öffentliche Schlüssel vorhanden ist, und entfernen Sie anschließend den veralteten Selector, damit alte, unsignierte Konfigurationen keine Verwirrung stiften können.

Die drei Mechanismen arbeiten zusammen, prüfen aber unterschiedliche Dinge. SPF veröffentlicht eine Liste von IP-Adressen und Servern, die berechtigt sind, für Ihre Domain Mails zu versenden, sodass ein Empfänger bestätigen kann, dass die Nachricht von einer autorisierten Quelle stammt. DKIM fügt jeder Nachricht eine kryptografische Signatur hinzu und veröffentlicht den öffentlichen Schlüssel im DNS, um zu belegen, dass die Mail wirklich von Ihrer Domain stammt und unterwegs nicht verändert wurde. DMARC verknüpft beide: Es legt fest, was Empfänger tun sollen, wenn SPF oder DKIM fehlschlägt – none, quarantine oder reject – und wohin Berichte gesendet werden. Eine strikte DMARC-Richtlinie erfordert, dass mindestens SPF oder DKIM besteht und im Alignment übereinstimmt, weshalb ein defekter DKIM-Eintrag Ihre Reichweite unbemerkt einschränken kann. Nutzen Sie diesen Checker, um sicherzustellen, dass die DKIM-Komponente einwandfrei funktioniert, bevor Sie Ihre DMARC-Richtlinie verschärfen.