DKIM-Datensatz-Inspektor

Den DKIM-Inspektor optimal nutzen

Sammeln Sie Selektor und From-Domain, bevor Sie die Analyse starten. Das Tool verwandelt sie in selektor._domainkey.domain und lässt Sie den Resolver oder DNS-over-HTTPS-Endpunkt wählen.

Felder vorbereiten

Geben Sie den Selektor genau so ein, wie er veröffentlicht ist - Groß-/Kleinschreibung beachten - und die sendende Domain ohne _domainkey-Suffix. Der Inspektor setzt sie zu {selector}._domainkey.{domain} zusammen, bevor er die Abfrage startet.

Selektoren sicher wechseln

Testen Sie jeden Selektor während einer Schlüsselrotation oder Zustellbarkeitsuntersuchung. Wechseln Sie zwischen verfügbaren Resolvern (öffentlich, benutzerdefiniert oder DoH), um zu überprüfen, dass der TXT überall propagiert ist, bevor Sie Ihren MTA aktualisieren.

DKIM-Diagnosen interpretieren

Fehler signalisieren fehlenden TXT, ungültige Syntax oder Nichtübereinstimmung zwischen öffentlichem Schlüssel und Richtlinie. Warnungen heben schwächere Parameter oder Testmodus hervor. Nutzen Sie Resolver-, Latenz- und DoH-Details, um Konfiguration von Propagation zu unterscheiden.

Warum diesen DKIM-Inspektor verwenden?

Prüfen Sie vor dem Versand, ob Ihr öffentlicher DKIM-Schlüssel korrekt veröffentlicht ist.
Das Tool löst selektor._domainkey.domain auf, folgt eventuellen CNAMEs, liest den zurückgegebenen TXT und hebt Syntaxfehler, zu kurze oder widerrufene Schlüssel und inkonsistente Tags hervor. Sie sparen Zeit und vermeiden fehlgeschlagene Versuche in der Produktion.

DKIM kurz erklärt

DKIM signiert die Nachricht mit einem privaten Schlüssel. Der Empfänger verifiziert die Signatur mit dem im DNS veröffentlichten öffentlichen Schlüssel. Dieser Schlüssel befindet sich in einem TXT-Eintrag unter selektor._domainkey.domain. Wichtige Tags sind:

v=DKIM1 Version
k= Schlüsseltyp rsa oder ed25519
p= öffentlicher Schlüssel in Base64
t= Test-Flags y oder Einschränkung s
n= optionale Notiz
g= historische Granularität selten verwendet
s= optionale Dienste

Anleitung

Geben Sie die zu prüfende Domain und den Selektor ein.
Klicken Sie auf Eintrag inspizieren.
Lesen Sie die Zusammenfassung und dann die Details. Fehler blockieren die Verifizierung auf Empfängerseite. Warnungen signalisieren Risiko oder zu verbessernde Praxis.
Korrigieren Sie und führen Sie dann eine weitere Prüfung durch.

Was der Inspektor prüft

DNS-Auflösung

Existenz von selektor._domainkey.domain als TXT.
CNAME-Kette bis zum finalen TXT verfolgt.
Lesbarer TTL und gesamte Antwortgröße.

TXT-Syntax

Vorhandensein von v=DKIM1.
Konsistentes k= rsa oder ed25519.
p= nicht leer und gültig in Base64. Leeres p= = widerrufener Schlüssel.
Unbekannte oder doppelte Tags gemeldet.
Fragmentierte Zeichenfolgen akzeptiert und zusammengesetzt, wenn Zone in 255-Zeichen-Segmente aufteilt.

Öffentlicher Schlüssel

Für RSA Mindestlänge 1024 abgelehnt. Empfohlen 2048. Akzeptabel 3072. 4096 möglich, aber auf DNS-Größe achten.
Für ed25519 kompaktes Format erwartet.
Erkennung verbotener Zeichen, verirrter Leerzeichen und falscher Anführungszeichen.
Fingerabdruck berechnet zur Erleichterung der Inventarisierung.

Diagnosehilfen

Vorhandensein eines DMARC-Eintrags und Erinnerung an erwartete Ausrichtung.
Hinweise zum Schlüsselalter, wenn TTL und Historie darauf hindeuten.
Rotationsempfehlung, wenn mehrere aktive Selektoren sichtbar sind.

Häufige Fehler

Falsch geschriebener Selektor Schlüssel kann nicht gefunden werden.
Leeres p= Schlüssel versehentlich widerrufen.
RSA-1024-Schlüssel wahrscheinliche Ablehnung durch große Plattformen.
Nicht-Base64-Zeichen fehlerhaftes Kopieren/Einfügen, typografische Anführungszeichen.
Schlüssel zu lang oder TXT schlecht segmentiert Überschreitung von 255 Zeichen pro Fragment.
CNAME zu einem Namen, der keinen finalen TXT veröffentlicht.

Best Practices

Mindestens zwei Selektoren veröffentlichen und regelmäßig rotieren.
RSA 2048 oder ed25519 je nach Ökosystem bevorzugen.
TXT sauber halten v k p und exotische unnötige Tags vermeiden.
DNS-Lesung nach jedem Deployment testen, dann Testnachricht senden und Authentication-Results-Header lesen.
Selektor dokumentieren Datum Schlüsselgröße ausstellender Dienst und verantwortliche Person.

Schnelle Fehlerbehebung

Signatur fehlgeschlagen, aber Schlüssel veröffentlicht vom Absender verwendeten Selektor überprüfen. Selektorname im DKIM-Signature-Header muss mit TXT übereinstimmen.
Signatur erfolgreich, aber DMARC fehlgeschlagen Ausrichtung zwischen From und DKIM-Domain überprüfen.
Einige Empfänger ignorieren Schlüssel überprüfen, dass nur ein nützlicher TXT auf dem finalen Namen vorhanden ist.