DKIM

Was DKIM ist

DomainKeys Identified Mail hängt jeder ausgehenden Nachricht eine digitale Signatur an. Der sendende Server berechnet einen Hash über ausgewählte Header und den Text, signiert ihn mit einem privaten Schlüssel und fügt einen DKIM-Signature-Header hinzu. Der passende öffentliche Schlüssel wird im DNS als TXT-Record unter selector._domainkey.example.com veröffentlicht, wobei der Selektor ein kurzes, vom Absender gewähltes Label ist, damit mehrere Schlüssel nebeneinander existieren können. Der Empfänger liest den Selektor aus dem Signatur-Header, holt den Schlüssel und verifiziert die Signatur. Stimmt sie, wurde die Nachricht von der Domain autorisiert und unterwegs nicht verändert.

Ein Signatur-Header trägt das Wesentliche in Tag-Form: d= ist die signierende Domain, s= der Selektor, h= listet die signierten Header, und b= ist die Signatur selbst.

Warum es wichtig ist

SPF autorisiert Server; DKIM autorisiert Nachrichten. Der Unterschied zählt immer dann, wenn Mail über einen Zwischenserver läuft, etwa eine Mailingliste oder eine Weiterleitungsadresse: SPF schlägt fehl, weil die IP des Weiterleiters nicht autorisiert ist, aber eine DKIM-Signatur überlebt, solange der Inhalt nicht verändert wird. Große Empfänger gewichten eine gültige DKIM-Signatur stark bei der Entscheidung, ob eine Nachricht den Posteingang erreicht, und DMARC stützt sich darauf, um die sichtbare From:-Domain mit einer authentifizierten Identität abzugleichen.

DKIM hilft auch bei der Reputation. Weil die Signatur eine Nachricht an eine Domain statt an eine IP-Adresse bindet, folgt die Historie eines Absenders der Domain, selbst wenn sich die Versandinfrastruktur ändert.

So prüfen Sie es

Finden Sie den Selektor im DKIM-Signature-Header einer Nachricht und fragen Sie mit dem DNS-Lookup den TXT-Record unter selector._domainkey.ihredomain.com ab. Ein gültiger Record beginnt mit v=DKIM1 und enthält ein p=-Tag mit dem öffentlichen Schlüssel; ein leeres p= bedeutet, der Schlüssel wurde widerrufen. Um zu sehen, ob Empfänger Ihre Signaturen akzeptieren, fügen Sie die vollständigen Header einer zugestellten Nachricht in die E-Mail-Header-Analyse ein und lesen Sie die Zeile Authentication-Results, die dkim=pass oder den Grund des Fehlschlags meldet.

Häufige Probleme

• Der DNS-Record wurde in mehrere Strings aufgeteilt und falsch zusammengesetzt, oder der Schlüssel wurde durch ein Längenlimit des Anbieters abgeschnitten.
• Die Nachricht wurde nach dem Signieren verändert, oft durch eine Fußzeile oder einen Haftungsausschluss eines Gateways.
• Der Selektor im Header passt nicht zum veröffentlichten.
• Schlüssel unter 1024 Bit werden von großen Empfängern abgelehnt; 2048 Bit ist heute die übliche Wahl.

Ein häufiges Missverständnis

DKIM verschlüsselt keine Mail und beweist nicht, wer sie geschrieben hat. Es beweist, dass ein Server mit dem privaten Schlüssel der Domain die Nachricht verarbeitet hat und dass sie intakt angekommen ist.