DKIM-Generator
Der DKIM-Generator erstellt ein Schlüsselpaar und genau den TXT-Eintrag, den Sie im DNS veröffentlichen.
So richten Sie DKIM mit dem neuen Schlüssel ein
- Geben Sie Ihre Domain und einen Selector ein. Wählen Sie eine Schlüssellänge und klicken Sie auf "DKIM-Schlüssel erstellen".
- Legen Sie bei Ihrem DNS-Anbieter einen TXT-Eintrag an. Nutzen Sie den Namen, der oben angezeigt wird: selector._domainkey oder den vollständigen Namen, wenn Ihr Anbieter ihn verlangt. Fügen Sie dann den TXT-Wert ein.
- Tragen Sie den privaten Schlüssel in die DKIM-Einstellungen Ihres Mailservers ein. Verwenden Sie dort denselben Selector und dieselbe Domain.
- Senden Sie eine Testnachricht an ein privates Gmail-Konto und öffnen Sie "Original anzeigen". Neben DKIM sollte PASS stehen.
Steht dort kein PASS, prüfen Sie zwei Dinge. Ist der DKIM-Eintrag schon im DNS veröffentlicht? Und stimmt der Selector auf dem Server genau mit dem im DNS überein? Wie DKIM mit SPF und DMARC zusammenarbeitet, lesen Sie in SPF, DKIM und DMARC erklärt.
Selector und Schlüssellänge wählen
Der Selector ist nur ein Name. Wählen Sie also einen, den Sie später wiedererkennen. Ein Name mit Datum wie s2026a zeigt beim Schlüsselwechsel sofort, welcher Schlüssel aktuell ist. Der Selector darf Buchstaben, Ziffern und Bindestriche enthalten.
Bei der Schlüssellänge sind 2048 Bit die sichere Standardwahl. Gmail verlangt DKIM-Schlüssel mit mindestens 1024 Bit und empfiehlt 2048 Bit. Laut RFC 8301 müssen signierende Server mindestens 1024 Bit verwenden, sollten aber 2048 Bit wählen. Derselbe RFC verlangt, dass Empfänger Schlüssel bis 4096 Bit verarbeiten können. Ein Eintrag mit 4096 Bit ist aber so lang, dass manche DNS-Oberflächen damit Probleme haben. Wählen Sie 4096 Bit deshalb nur, wenn Sie einen Grund dafür haben.
Was in einem DKIM-Eintrag steht
| Tag | Bedeutung | Beispiel |
|---|---|---|
| v | Version. Optional, aber wenn vorhanden, muss sie zuerst stehen | v=DKIM1 |
| k | Schlüsseltyp. rsa ist der Standard | k=rsa |
| p | Der öffentliche Schlüssel, Base64-kodiert. Ein leeres p= bedeutet, dass der Schlüssel widerrufen wurde | p=MIIBIjAN... |
| t | Flags. y bedeutet Testmodus, s bedeutet, dass der Schlüssel nicht für Subdomains gilt | t=y |
Der DKIM-Eintrag, oft auch DKIM-Record genannt, kennt drei weitere Tags: h für Hash-Algorithmen, n für Notizen und s für den Diensttyp. Sie werden selten gebraucht.
Warum lange DKIM-Einträge aufgeteilt werden
Ein öffentlicher Schlüssel mit 2048 Bit ist Base64-kodiert etwa 390 Zeichen lang. Das DNS speichert TXT-Daten in Strings mit je höchstens 255 Zeichen (RFC 1035). Ein so langer Schlüssel muss deshalb als zwei oder mehr Strings veröffentlicht werden. Empfänger fügen sie wieder zusammen, bevor sie die Signatur prüfen. Die meisten DNS-Oberflächen teilen den Wert selbst auf, wenn Sie die Version als einzelnen String einfügen. Das Format "BIND-Zone" oben ist für alle, die eine BIND-Zonendatei direkt bearbeiten. Dort stehen die Strings in Klammern, damit der Eintrag über mehrere Zeilen gehen kann.
DKIM-Schlüssel wechseln
So wechseln Sie den Schlüssel, ohne dass etwas ausfällt: Erstellen Sie ein neues Schlüsselpaar unter einem neuen Selector. Veröffentlichen Sie den neuen DKIM-Eintrag zusätzlich zum alten. Stellen Sie Ihren Server dann auf den neuen Selector um. Entfernen Sie den alten Eintrag erst, wenn alle damit signierten E-Mails zugestellt sind.
Häufige Fragen zum DKIM-Generator
Die eingebaute Web Crypto API Ihres Browsers erstellt das Schlüsselpaar. Der private Schlüssel wird nie an unsere Server oder anderswohin gesendet. Deshalb können wir ihn auch nicht wiederherstellen. Laden Sie ihn herunter, bevor Sie die Seite verlassen.
Auf Ihren Mailserver, in dessen DKIM-Einstellungen, und nirgendwo sonst. Tragen Sie ihn nie im DNS ein und senden Sie ihn nie per E-Mail. Veröffentlicht wird nur der öffentliche Schlüssel im TXT-Wert.
Nutzen Sie 2048 Bit, außer Ihr DNS-Anbieter kann den längeren Eintrag nicht speichern. Gmail akzeptiert 1024 Bit als Minimum, empfiehlt aber 2048 Bit. Laut RFC 8301 sollten signierende Server mindestens 2048 Bit nutzen.
Jeder String in einem TXT-Eintrag fasst höchstens 255 Zeichen, und ein Schlüssel mit 2048 Bit ist länger. Empfänger fügen die Strings wieder zu einem Wert zusammen. Die Aufteilung ändert den Eintrag also nicht.
Viele Signatur-Tools akzeptieren die Standarddatei im Format PKCS#8 (BEGIN PRIVATE KEY). Verlangt Ihr Tool BEGIN RSA PRIVATE KEY, laden Sie stattdessen die PKCS#1-Version herunter. Das ist derselbe Schlüssel in einem älteren Format.
Senden Sie eine Nachricht von Ihrem Server an ein privates Gmail-Konto. Öffnen Sie sie und wählen Sie "Original anzeigen". Gmail zeigt das DKIM-Ergebnis weit oben. Dort sollte PASS für Ihre Domain stehen.
Nein. Beide erstellen ihre eigenen DKIM-Schlüssel. Richten Sie DKIM dort in der jeweiligen Admin-Konsole ein. Dieses Tool ist für Server, bei denen Sie den Signaturschlüssel selbst verwalten.
DKIM eingerichtet? Prüfen Sie als Nächstes Ihre E-Mail-Liste
1.000 Credits gratis, keine Kreditkarte nötig.