DKIM-Syntaxprüfung

So funktioniert die DKIM-Syntax

DomainKeys Identified Mail (DKIM) ergänzt ausgehende Nachrichten mit einer digitalen Signatur. Der Empfänger kann dadurch beweisen, dass die Mail wirklich aus Ihrer Infrastruktur stammt. Der zur Prüfung benötigte öffentliche Schlüssel steckt in einem TXT-Eintrag. Diese Seite erklärt, wie die Syntax aufgebaut ist und wie der Prüfer die von der API gelieferten Felder auswertet.

Was steht in einem DKIM-TXT-Eintrag?

Ein DKIM-Eintrag besteht aus Tags, die durch Semikolons getrennt sind. Jedes Tag besitzt einen kurzen Namen, ein Gleichheitszeichen und einen Wert. Der Validator entfernt überflüssige Leerzeichen, ignoriert die Reihenfolge und akzeptiert umbrochene Zeilen, solange die Syntax konsistent bleibt.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

Pflicht-Tags, die veröffentlicht werden müssen

• v - Versionskennzeichen. Aktuell ist nur DKIM1 zulässig.
• k - Schlüsseltyp. RSA (rsa) ist weiterhin Standard, Ed25519 (ed25519) taucht langsam auf.
• p - öffentlicher Schlüssel im Base64-Format. Entfernen Sie vor dem Veröffentlichen Anführungszeichen und Leerzeichen.

Fehlt eines dieser Tags, ist es leer oder falsch formatiert, kann die Signatur nicht validiert werden. Das Tool hebt den genauen Fehler hervor, damit Sie den Schlüssel neu erzeugen oder den DNS-Eintrag korrigieren können.

Optionale Tags für Feintuning

• h begrenzt die Hash-Algorithmen, die zur Prüfung zulässig sind (sha256 empfohlen, sha1 veraltet).
• t aktiviert Flags wie y (Testmodus) oder s (strenge Übereinstimmung mit dem Selektor).
• s legt fest, für welche Dienste der Schlüssel gilt. Ohne Wert beschränkt er sich auf E-Mail.
• g schränkt den Schlüssel auf einen bestimmten Benutzer oder Alias ein.
• n bietet Platz für Betriebs- oder Diagnosehinweise.

Diese Tags dürfen entfallen, wenn Sie mit den Standardwerten leben können. Der Prüfer zeigt sie dennoch im Abschnitt „Details zum Eintrag“ an, sobald sie vorhanden sind, damit Sie das spätere DNS-Ergebnis nachvollziehen können.

Typische Syntaxfehler, die erkannt werden

1. Mitkopierte Anführungszeichen aus dem DNS-Interface. Entfernen Sie die Anführungszeichen und Zeilenumbrüche vor der Prüfung.
2. Typografische Anführungszeichen oder doppelte Semikolons. Der Parser erwartet ASCII-Zeichen und nur ein ; zwischen Tags.
3. Tags, die nur aus Leerzeichen bestehen. Sie gelten als leer und führen je nach Feld zu Warnungen oder Fehlern.
4. Gemischte Versionen oder Schlüsseltypen. Verwenden Sie v=DKIM1 und genau einen Schlüsseltyp pro Eintrag.
5. Abgeschnittene öffentliche Schlüssel. Stellen Sie sicher, dass der Base64-Block nicht beim Kopieren oder durch Längenlimits gekürzt wurde.

Jeder von der API gemeldete Befund wird auf dem Status-Badge oberhalb der Ergebnisse gespiegelt. Fehler bedeuten, dass der Eintrag unbrauchbar ist; Warnungen kennzeichnen riskante, aber technisch gültige Konfigurationen.

Gute Praxis vor der Veröffentlichung

• Erzeugen Sie das Schlüsselpaar auf einem vertrauenswürdigen Server oder über Ihren Mail-Provider und schützen Sie den privaten Schlüssel.
• Wählen Sie einen kurzen, eindeutigen Selektor, um Rotationen zu vereinfachen (selector2024._domainkey.example.com).
• Passen Sie die TTL an Ihre Rotationspolitik an. Kurze TTLs erleichtern Notfall-Rückzüge, lange TTLs reduzieren DNS-Last nach der Stabilisierung.
• Dokumentieren Sie Verantwortliche und das Datum der letzten Rotation.

Wenn Sie den finalen Wert durch den Syntaxprüfer schicken, stellen Sie sicher, dass der TXT-Eintrag nach der Veröffentlichung korrekt interpretiert wird. Ergänzen Sie die Prüfung mit einer DNS-Abfrage zur Propagationskontrolle und mit DMARC-Auswertungen, um die Signaturqualität langfristig im Blick zu behalten.