DKIM (DomainKeys Identified Mail) ist das Verfahren, das ausgehende E-Mails digital unterschreibt und über das DNS prüfbar macht. Der empfangende Server holt den öffentlichen Schlüssel aus der Zone und prüft damit die Unterschrift.
- DKIM (DomainKeys Identified Mail)
Das Verfahren, das ausgehende E-Mails digital unterschreibt und über das DNS prüfbar macht.
Beispiel: „Nach dem Wechsel des Anbieters fehlte der DKIM-Schlüssel in der Zone, und die Prüfung schlug fehl.“Der öffentliche Schlüssel steht als Texteintrag unter einem Namen nach dem Muster selektor._domainkey.domain. Der private Schlüssel bleibt beim Mailserver.
Abgrenzung zu SPF: Dieses prüft den sendenden Server. DKIM prüft die Nachricht selbst und übersteht deshalb Weiterleitungen.
Wie eine DKIM-Prüfung abläuft
In drei Schritten. Der sendende Server bildet eine Prüfsumme über Kopfzeilen und Inhalt und unterschreibt sie; die Unterschrift reist als Kopfzeile mit. Der Empfänger holt den Schlüssel aus dem DNS und rechnet nach.
Stimmt das Ergebnis, steht fest, dass die Nachricht unterwegs nicht verändert wurde und aus dem Haus stammt, das den Schlüssel hält.
Was ein Selektor bei DKIM ist
Ein Name, der mehrere Schlüssel nebeneinander erlaubt. Jeder Dienst bekommt seinen eigenen, und ein Wechsel läuft ohne Unterbrechung, weil der alte Schlüssel noch gilt, während der neue schon gelesen wird.
Deshalb stehen in gewachsenen Zonen oft ein halbes Dutzend solcher Einträge, von denen die Hälfte zu Diensten gehört, die es nicht mehr gibt.
Was bei DKIM schiefgeht
Zwei Dinge. Der Eintrag wird beim Anbieterwechsel vergessen, und die Prüfung schlägt bei jeder Nachricht fehl; oder der Schlüssel ist zu kurz geraten, und strenge Empfänger werten ihn als ungültig.
Beides zeigt sich in den Berichten, die bei einem eingerichteten DMARC-Eintrag eingehen, siehe DMARC.