Dieser kostenlose DKIM-Prüfer löst den Live-Eintrag unter selector._domainkey auf, validiert den öffentlichen Schlüssel und erkennt Kürzungen, schwache Schlüssellängen sowie den Testmodus. DKIM-Prüfer und -Validator in einem, ohne Anmeldung.
Ein DKIM-Prüfer löst den TXT-Eintrag unter selector._domainkey.yourdomain auf und validiert den gefundenen öffentlichen Schlüssel. Anders als bei SPF oder DMARC gibt es keinen festen Hostnamen. Deshalb fragt der DKIM-Prüfer nach dem Selektor – ein perfekter DKIM-Eintrag am falschen Selektor ist schlicht nicht erreichbar.
Dieser kostenlose DKIM-Prüfer analysiert den Schlüssel, statt nur die Existenz einer Zeichenfolge zu melden. Kürzungen sind der häufigste Fehler: Ein öffentlicher DKIM-Schlüssel ist lang, und DNS-Panels teilen lange TXT-Werte so auf, dass der Eintrag im Panel korrekt aussieht, bei der Validierung aber fehlschlägt. Nur ein Live-DKIM-Prüfer erkennt das.
Der Dienst ist ein DKIM-Prüfer und -Validator, nicht nur eine Abfrage: Schlüssellänge, Schlüsseltyp, das Tag v=DKIM1 und das Test-Flag t=y werden gemeldet. Führen Sie den DKIM-Prüfer nach jeder Veröffentlichung und jeder Schlüsselrotation des Anbieters aus.
Wenn Sie den Selektor nicht kennen, lesen Sie das Tag s= im DKIM-Signature-Header einer von Ihnen gesendeten Nachricht. Diese Standardwerte sieht der DKIM-Prüfer am häufigsten.
Google Workspace signiert standardmäßig mit dem Selektor google. Fragen Sie ihn zuerst im DKIM-Prüfer ab.
Microsoft 365 verwendet selector1 und selector2 über CNAME. Prüfen Sie beide mit dem DKIM-Prüfer.
SendGrid verwendet s1 und s2 über CNAME-Einträge. Der DKIM-Prüfer folgt der Kette automatisch.
Amazon SES veröffentlicht drei CNAME-Selektoren. Prüfen Sie nach der Einrichtung jeden davon mit dem DKIM-Prüfer.
Was aufgelöst wird
Ein DKIM-Prüfer löst den TXT-Eintrag unter selector._domainkey auf und validiert den gefundenen öffentlichen Schlüssel. An diesem Hostnamen verbergen sich die meisten DKIM-Probleme: Ein perfekter Eintrag am falschen Selektor ist nicht erreichbar, und kein DKIM-Prüfer kann ihn finden.
Anders als bei SPF oder DMARC gibt es keinen festen Hostnamen für die Abfrage. Der DKIM-Prüfer fragt nach dem Selektor, weil ein DKIM-Eintrag ausschließlich unter selector._domainkey.yourdomain liegt.
Wenn Sie den Selektor nicht kennen, lesen Sie den DKIM-Signature-Header einer von Ihnen gesendeten Nachricht. Das Tag s= ist der Selektor, den der DKIM-Prüfer benötigt.
Ein DKIM-Eintrag kann vorhanden und dennoch defekt sein: vom DNS-Panel gekürzt, ohne das Tag v=DKIM1 oder mit einem fehlerhaften Base64-Schlüssel. Ein kostenloser DKIM-Prüfer analysiert den Schlüssel, statt nur die Existenz einer Zeichenfolge zu melden.
Kürzungen sind der häufigste Fall. Ein öffentlicher DKIM-Schlüssel ist lang, und Panels teilen lange TXT-Werte so auf, dass ein Eintrag korrekt aussieht, bei der Validierung aber fehlschlägt.
2048-Bit-RSA ist der moderne Standard. Ein DKIM-Prüfer und -Validator meldet, was tatsächlich veröffentlicht ist. So finden Sie einen 1024-Bit-Schlüssel, den ein Anbieter vor Jahren eingerichtet und niemand rotiert hat.
Der Schlüsseltyp ist in der Praxis weniger wichtig – nahezu jede Implementierung verwendet RSA.
t=y kennzeichnet einen DKIM-Eintrag als Test, und Empfänger behandeln die Signaturen entsprechend. Nach dem Start versehentlich im Testmodus belassene Einträge sind häufig.
Ein DKIM-Prüfer, der das Tag t ignoriert, stuft einen Eintrag als gültig ein, obwohl Empfänger jede damit abgedeckte Signatur geringer gewichten.
Ergebnisse
Fünf Ergebnisse, jeweils mit einer konkreten Lösung.
Entweder ist der Selektor falsch oder der Eintrag wurde nie veröffentlicht. Prüfen Sie das Tag s= in einem echten DKIM-Signature-Header, bevor Sie davon ausgehen, dass der Eintrag fehlt.
Ein DKIM-Prüfer kann den Selektor nicht erraten. Einige Werte im DKIM-Prüfer auszuprobieren, geht schneller als die Dokumentation des Anbieters zu lesen.
Der klassische Fehler eines DNS-Panels. Ein kostenloser DKIM-Prüfer meldet einen fehlerhaften Schlüssel, obwohl das Panel einen vollständigen anzeigt.
Veröffentlichen Sie den Eintrag erneut, möglichst als eine einzige ununterbrochene Zeichenfolge, und führen Sie den DKIM-Prüfer nach der DNS-Verbreitung noch einmal aus.
Gültig, aber schwächer als er sein sollte. Die meisten Anbieter stellen heute 2048-Bit-Schlüssel aus und unterstützen die Rotation.
Rotieren Sie den Schlüssel über Ihren Anbieter, statt ihn von Hand zu bearbeiten. Der DKIM-Prüfer bestätigt anschließend, dass der neue Schlüssel aufgelöst wird.
t=y ist noch gesetzt. Empfänger erkennen daran, dass der Signatur im Produktivbetrieb nicht vertraut werden soll.
Entfernen Sie das Flag und veröffentlichen Sie den Eintrag erneut. Ein DKIM-Prüfer und -Validator findet diesen Ein-Zeichen-Fehler in Sekunden, während er sonst jahrelang unbemerkt bleiben kann.
Eine bestandene DKIM-Prüfung und die DKIM-Ausrichtung sind zwei verschiedene Dinge. Damit DMARC die Signatur akzeptiert, muss die signierende Domain mit der sichtbaren From-Domain übereinstimmen.
Lesen Sie den Authentication-Results-Header einer echten Nachricht. Ein DKIM-Prüfer allein kann die Ausrichtung nicht erkennen.
Wann geprüft werden sollte
DKIM fällt unbemerkt aus. Das einzige Symptom sind oft E-Mails, deren Ausrichtung Wochen später still scheitert. Deshalb gehört ein DKIM-Prüfer zur Routine und nicht nur in den Notfall.
DNS-Verbreitung und Veränderungen durch das Panel führen dazu, dass der gespeicherte und der ausgelieferte Eintrag nicht zuverlässig identisch sind. Führen Sie einen kostenlosen DKIM-Prüfer aus, sobald die DNS-Verbreitung abgeschlossen ist.
Diese eine Gewohnheit erkennt Kürzungen, bevor E-Mails davon betroffen sind.
Anbieter rotieren DKIM-Schlüssel nach ihrem eigenen Zeitplan. CNAME-basierte Einrichtungen werden automatisch aktualisiert, TXT-basierte dagegen nicht.
Führen Sie den DKIM-Prüfer nach jeder Mitteilung Ihres Anbieters über eine Schlüsselrotation erneut aus.
Aggregierte Berichte nennen die fehlerhafte Quelle. Fragen Sie den Selektor dieses Anbieters mit dem DKIM-Prüfer ab, bevor Sie einen Fehler beim Anbieter vermuten.
In der Hälfte der Fälle fehlt der Eintrag schlicht für einen Absender, dessen Einrichtung niemand bedacht hat.
Der Wechsel zu p=reject bei einem defekten DKIM-Eintrag eines legitimen Absenders führt vom ersten Tag an zum Verlust echter E-Mails.
Prüfen Sie zuerst jeden Selektor und validieren Sie anschließend auch die Empfängerliste mit dem E-Mail-Validator – Authentifizierung und Listenhygiene können Kampagnen unabhängig voneinander scheitern lassen.
Grenzen
Ein DKIM-Prüfer löst einen Eintrag auf. Vier Dinge liegen außerhalb seines Prüfumfangs.
Ein veröffentlichter Eintrag und ein tatsächlich signierender Anbieter sind zwei verschiedene Zustände. Der DKIM-Prüfer liest DNS; er kann nicht feststellen, ob Ihr ESP die Signatur anwendet.
Senden Sie eine Testnachricht und lesen Sie den DKIM-Signature-Header, um die aktive Signierung zu bestätigen.
Eine bestandene DKIM-Prüfung und die DKIM-Ausrichtung mit der sichtbaren From-Domain sind getrennte Dinge. Nur die DMARC-Auswertung macht den Unterschied sichtbar.
Ein einwandfreies Ergebnis des DKIM-Prüfers für eine nicht ausgerichtete Signaturdomain scheitert dennoch an DMARC.
Selektoren können nicht über DNS aufgelistet werden. Der DKIM-Prüfer benötigt den Selektor; die maßgebliche Quelle ist Ihr Anbieter oder ein echter DKIM-Signature-Header.
Das ist eine Eigenschaft des Protokolls, keine Einschränkung des Tools.
Absenderauthentifizierung und Empfängerprüfung sind unabhängig voneinander. Ein perfekter DKIM-Eintrag bedeutet nicht, dass die angeschriebenen Adressen existieren.
Führen Sie vor einer Kampagne beide Prüfungen aus.
Referenz
DKIM wird von der IETF definiert. Die Tools neben diesem DKIM-Prüfer decken ab, was ein DKIM-Prüfer nicht leisten kann.
Die IETF-Spezifikation RFC 6376 definiert DKIM, seine Tags und die Selektorkonvention, anhand derer dieser DKIM-Prüfer validiert.
Jedes Ergebnis unseres kostenlosen DKIM-Prüfers lässt sich auf eine Regel in diesem Dokument zurückführen.
Wenn der DKIM-Prüfer nichts findet, erstellt der DKIM-Eintragsgenerator einen gültigen Eintrag unter dem richtigen Selektor-Hostnamen.
Erstellen Sie den Eintrag dort und prüfen Sie ihn hier mit dem DKIM-Prüfer. Keines der beiden Tools allein erkennt Veränderungen durch das Panel.
DKIM ist ein Drittel des Ganzen. Der SPF-Prüfer und der DMARC-Prüfer decken die IP-Autorisierung und die Ausrichtung der From-Domain ab.
Ein einwandfreies Ergebnis des DKIM-Prüfers für eine Domain ohne DMARC-Richtlinie bedeutet: signiert, aber weiterhin fälschbar.
Neunzehn kostenlose Tools neben den kostenpflichtigen KI-Funktionen, alle ohne Konto nutzbar.
Kostenlose Tools
Kostenloser DKIM-DNS-Record-Generator: Erstellen Sie den v=DKIM1-TXT-Record und den Hostnamen selector._domainkey für jeden Anbieter – ohne Anmeldung.
Domain- oder Infrastruktur-Nachweis — kein Beleg für das Postfach.
Kostenlose Tools
Kostenloser SPF-Record-Prüfer: SPF-Record jeder Domain live auflösen, DNS-Lookups zählen und Syntax validieren. Ohne Registrierung.
Kostenlose Tools
Kostenloser DMARC-Record-Prüfer: aktuellen Record jeder Domain auflösen, alle Tags parsen und die wirksame Richtlinie anzeigen. Ohne Registrierung.
Kostenlose Tools
Kostenlose DNS-Abfrage für jede Domain: A, AAAA, MX, TXT, NS, CNAME und SOA live von autoritativen Nameservern. Ohne Anmeldung.
E-Mail-Tools
Kostenloser E-Mail-Header-Analyzer: Roh-Header einfügen und SPF-, DKIM-, DMARC-Ergebnisse, den Zustellpfad und alle wichtigen Header erhalten.
Absender- oder Nachrichtendiagnose — keine Adressermittlung.
E-Mail-Tools
Kostenloser Zustellbarkeitstest: Senden Sie eine E-Mail und erhalten Sie Bewertungen für Authentifizierung, DNS, Spamfilter, Blacklists, Header und Inhalt.
Ja – unser kostenloser DKIM-Prüfer erfordert weder Anmeldung noch Konto. Prüfen Sie beliebig viele Domains und Selektoren. Bei jeder Anfrage wird live über DNS aufgelöst, statt ein zwischengespeichertes DKIM-Ergebnis auszugeben.
Weil ein DKIM-Eintrag unter selector._domainkey.yourdomain liegt und Selektoren nicht über DNS aufgelistet werden können. Ein DKIM-Prüfer und -Validator kann ihn nicht erraten. Lesen Sie das Tag s= in einem echten DKIM-Signature-Header oder sehen Sie in der Dokumentation Ihres Anbieters nach.
Das liegt fast immer an einer Kürzung im DNS-Panel. Ein öffentlicher DKIM-Schlüssel ist lang, und viele Panels teilen oder kürzen lange TXT-Werte beim Speichern. Unser kostenloser DKIM-Prüfer zeigt, was Ihre Nameserver tatsächlich ausliefern – die einzige Version, die Empfänger sehen. Veröffentlichen Sie den Wert erneut als eine einzige ununterbrochene Zeichenfolge und führen Sie den DKIM-Prüfer noch einmal aus.
Das Tag t=y kennzeichnet den Eintrag als Test, weshalb Empfänger die damit abgedeckten Signaturen geringer gewichten. Ein DKIM-Prüfer und -Validator weist darauf hin, da Einträge, die nach dem Start im Testmodus bleiben, ein häufiges und lang anhaltendes Versäumnis sind.
Er ist gültig, aber schwächer als er sein sollte. Die meisten Anbieter stellen heute 2048-Bit-Schlüssel aus. Rotieren Sie den Schlüssel über Ihren Anbieter, statt den Eintrag von Hand zu bearbeiten, und prüfen Sie anschließend mit dem DKIM-Prüfer, ob der neue Schlüssel korrekt aufgelöst wird.
Eine bestandene DKIM-Prüfung und die DKIM-Ausrichtung sind zwei verschiedene Dinge: Die signierende Domain muss mit der sichtbaren From-Domain übereinstimmen. Ein einwandfreies Ergebnis des DKIM-Prüfers für eine nicht ausgerichtete Signaturdomain scheitert dennoch an DMARC. Lesen Sie den Authentication-Results-Header einer echten Nachricht, um zu sehen, was fehlgeschlagen ist.
Dieser kostenlose DKIM-Prüfer kommt ohne Anmeldung aus. Lösen Sie den Live-Eintrag an Ihrem Selektor auf, validieren Sie den Schlüssel und erkennen Sie Kürzungen, bevor Empfänger es tun.
Kostenloser DKIM-Prüfer · DKIM-Prüfer, Live-DNS · DKIM-Prüfer und -Validator · DKIM-Prüfer, kein Konto
