Erstellen Sie den korrekten DKIM-DNS-Hostnamen und das TXT-Record-Format für Ihre Domain und Ihren Selektor. Fügen Sie den öffentlichen Schlüssel ein und veröffentlichen Sie den Eintrag.
Häufige Werte: mail, google, s1, default. Verwenden Sie den Selektor, den Ihr E-Mail-Anbieter vorgibt.
DKIM (DomainKeys Identified Mail) ist eine Methode zur E-Mail-Authentifizierung, mit der der Absender jede ausgehende Nachricht kryptografisch signiert. Der empfangende Mailserver prüft diese Signatur anhand eines öffentlichen Schlüssels, der im DNS des Absenders veröffentlicht ist. Eine gültige DKIM-Signatur belegt zwei Dinge: Die Nachricht stammt tatsächlich von der angegebenen Domain, und sie wurde unterwegs nicht verändert.
Im Gegensatz zu SPF, das die sendende IP mit einer Zulassungsliste abgleicht, hängt DKIM eine digitale Signatur direkt an die Nachricht. Dadurch bleibt die DKIM-Prüfung auch nach Weiterleitungen gültig, bei denen SPF oft scheitert, weil die IP des weiterleitenden Servers nicht im ursprünglichen SPF-Record steht.
Ein DKIM-Record ist ein DNS-TXT-Record, der unter einer bestimmten Subdomain veröffentlicht wird: selector._domainkey.yourdomain.com. Der Selektor ist eine von Ihnen gewählte Bezeichnung — häufige Werte sind mail, google, s1 oder default. Der Record-Wert beginnt mit v=DKIM1; k=rsa; p= gefolgt von Ihrem Base64-kodierten öffentlichen Schlüssel.
Der private Schlüssel bleibt geheim auf Ihrem Mailserver oder wird von Ihrem E-Mail-Anbieter verwaltet. Der öffentliche Schlüssel ist das, was Sie im DNS veröffentlichen. Empfangende Server nutzen den öffentlichen Schlüssel, um Signaturen zu prüfen, die mit dem privaten Schlüssel erzeugt wurden — das klassische Muster der Public-Key-Kryptografie.
Ihr öffentlicher DKIM-Schlüssel wird von Ihrem E-Mail-Anbieter erzeugt, wenn Sie DKIM-Signierung aktivieren. Hier finden Sie ihn bei den gängigsten Anbietern:
Verwenden Sie nach Möglichkeit eine Schlüssellänge von 2048 Bit — 1024-Bit-Schlüssel gelten als schwach und können von manchen Mailsystemen markiert werden. Rotieren Sie Ihre DKIM-Schlüssel regelmäßig (mindestens jährlich), um die Exposition zu begrenzen, falls ein Schlüssel kompromittiert wird. Belassen Sie den alten Schlüssel nach der Rotation einige Tage im DNS, damit Nachrichten unterwegs noch geprüft werden können.
DKIM allein schützt nicht den sichtbaren From-Header. Um Ihre E-Mail-Authentifizierung zu vervollständigen, fügen Sie eine DMARC-Richtlinie hinzu, die DKIM-Ergebnisse mit der From-Domain abstimmt. Eine saubere E-Mail-Liste zählt ebenfalls — selbst authentifizierte Mail landet im Spam, wenn sie wiederholt unzustellbar ist. Nutzen Sie E-Mail-Verifizierung , um ungültige Adressen zu entfernen, oder prüfen Sie große Listen mit Massenverifizierung von E-Mails.
Schlüssel- und Selektor-Eingaben
Ein DKIM-DNS-Record veröffentlicht einen öffentlichen Schlüssel unter einem Selektor. Der zugehörige private Schlüssel muss in dem System bleiben, das ausgehende Nachrichten signiert.
Ein Selektor wie google, s1 oder mail wird zu selector._domainkey.example.com. Verschiedene Anbieter und Rotationszeiträume können unterschiedliche Selektoren nutzen, ohne jeden DKIM-Schlüssel der Domain zu ersetzen.
Wählen Sie den Selektor, den Ihre Versandplattform im s=-Tag des DKIM-Signature-Headers setzt. Ein DNS-Record unter einem anderen Selektor wird für diese Nachricht nie abgefragt.
Der p=-Wert ist der Base64-kodierte öffentliche Schlüssel, den Empfänger verwenden. Der private Schlüssel signiert Nachrichten und muss geheim bleiben — bei Ihrem Anbieter, Mail-Transfer-Agent oder in einem sicheren Schlüsselsystem.
Dieser Generator formatiert den DNS-Owner-Namen und den TXT-Wert um einen öffentlichen Schlüssel. Er erzeugt oder installiert nicht die private Signierkonfiguration Ihres Mailverkehrs.
Record-Aufbau
Der DNS-Record ist klein, aber jedes Feld hängt mit einer Signaturentscheidung auf Nachrichtenebene zusammen.
Das Versions-Tag unterscheidet DKIM-Schlüsseldaten von anderem TXT-Inhalt. k=rsa kennzeichnet den Schlüsseltyp bei RSA, und p= trägt das Material des öffentlichen Schlüssels ohne PEM-Header oder privaten Schlüsseltext.
Ein Empfänger kombiniert die signierende Domain in d= mit dem Selektor in s=, um die DNS-Abfrage zu bilden. Der erzeugte Owner-Name muss genau zu diesem Paar passen, einschließlich jeder sendenden Subdomain.
DNS-Anbieter teilen einen langen DKIM-Wert manchmal in mehrere zitierte Zeichenketten. DNS fügt diese Zeichenketten für die TXT-Antwort zusammen; Anführungszeichen und Abstände in einer Verwaltungsoberfläche gehören nicht automatisch zum öffentlichen Schlüssel.
DNS kann einen gültigen Record enthalten, während der Absender DKIM-Signature weglässt, mit einem anderen Selektor signiert, eine abweichende Domain verwendet oder die Kanonisierung scheitert. Prüfen Sie den Nachrichtenweg nach der Veröffentlichung.
Bereitstellungsablauf
Halten Sie DNS-Veröffentlichung und Signierung im Mailsystem über vier klare Schritte synchron.
Nutzen Sie die Domain-Authentifizierung Ihres Anbieters oder das unterstützte Schlüssel-Tooling Ihres Mailservers. Bevorzugen Sie eine aktuelle Schlüssellänge, die Absender und DNS-Host unterstützen, und fügen Sie den privaten Schlüssel niemals auf dieser Seite ein.
Geben Sie die genaue Absenderdomain, den Selektor und den öffentlichen Schlüssel ein. Kopieren Sie Owner und Wert getrennt, weil DNS-Oberflächen sich darin unterscheiden, ob sie den Zonennamen automatisch anhängen.
Warten Sie den geltenden DNS-TTL ab und nutzen Sie den DKIM-Record-Checker, um zu bestätigen, dass selector._domainkey den erwarteten öffentlichen Schlüssel zurückgibt.
Prüfen Sie die empfangenen Header DKIM-Signature und Authentication-Results auf die erwartete d=-Domain, den s=-Selektor und dkim=pass. Ein DNS-Erfolg ohne pass auf Nachrichtenebene ist eine unvollständige Bereitstellung.
Sicherheitsgrenzen
Der öffentliche Record ist nur die empfängerseitige Hälfte von DKIM.
Speicherung des privaten Schlüssels, Zugriffskontrolle, Konfiguration des Signierdienstes und Rotation im Vorfall gehören zu Ihrem E-Mail-Anbieter oder Server. Wer den privaten Schlüssel offenlegt, ermöglicht einem anderen System Signaturen, denen Empfänger vertrauen können.
Das Mailsystem entscheidet, welche Header und welche Body-Darstellung signiert werden. Zwischenstellen, die signierten Inhalt ändern, können die Signatur ungültig machen, selbst wenn der DNS-Schlüssel korrekt ist.
Veröffentlichen Sie einen SPF-Record, um zulässige Envelope-Absender zu beschreiben. DKIM und SPF liefern unterschiedliche Nachweise und sollten gemeinsam bereitgestellt werden.
Nutzen Sie den DMARC-Generator, um festzulegen, wie Empfänger Mail behandeln sollen, wenn ausgerichtetes SPF und DKIM die sichtbare From-Domain nicht stützen.
Maßgebliche Referenz
Der Standard verbindet öffentliche DNS-Schlüssel mit den Signaturfeldern, die jeder Nachricht hinzugefügt werden.
Das RFC 6376 der IETF definiert den Namensraum _domainkey, die Selektor-Suche, DKIM-Signature-Tags, Kanonisierung, Signierung und das Prüfverhalten.
Prüfen Sie den öffentlichen Schlüssel mit dem DKIM-Checker, untersuchen Sie echte Nachrichten-Header und bestätigen Sie die Ausrichtung über den DMARC-Checker.
Wählen Sie das nächste Tool nach Art des Nachweises: Empfänger, Ermittlung, DNS und Infrastruktur oder Absender-Workflow.
Kostenlose Tools
DKIM-Eintrag für jede Domain und jeden Selektor prüfen. Öffentlichen Schlüssel und korrekte DKIM-Signierung sehen. Kostenlos, ohne Anmeldung.
Domain- oder Infrastruktur-Nachweis — kein Beleg für das Postfach.
Kostenlose Tools
Erstellen Sie in Sekunden einen gültigen SPF-DNS-Record für Ihre Domain. Mailserver, Include-Direktiven und Richtlinie festlegen. Kostenlos, ohne Anmeldung.
Domain- oder Infrastruktur-Nachweis — kein Beleg für das Postfach.
Kostenlose Tools
Erstellen Sie einen DMARC-DNS-TXT-Eintrag mit Richtlinie, Alignment und Reporting. Kostenloser Generator für E-Mail-Authentifizierung.
Domain- oder Infrastruktur-Nachweis — kein Beleg für das Postfach.
Kostenlose Tools
Prüfen Sie A-, AAAA-, MX-, TXT-, NS- oder CNAME-Records jeder Domain. Live-DNS-Abfrage mit Sofortergebnis. Kostenlos, keine Anmeldung.
Domain- oder Infrastruktur-Nachweis — kein Beleg für das Postfach.
E-Mail-Tools
Führen Sie einen E-Mail-Zustellbarkeitstest an einer echten Nachricht durch. Prüfen Sie SPF, DKIM, DMARC, DNS, Blacklist, Spam-Filter, Header und Inhaltsbelege.
Absender- oder Nachrichtendiagnose — keine Adressermittlung.
E-Mail-Prüfwerkzeuge
Prüfen Sie, ob eine E-Mail-Adresse gültig ist, mit einem kostenlosen E-Mail-Verifizierer für Syntax, MX, SMTP-Postfach, Wegwerf, Rolle und Catch-All.
Empfänger-Nachweis — keine Absender- oder DNS-Konfiguration.
Ein DKIM-Selektor ist ein kurzer Name (etwa mail oder google), der auf einen bestimmten öffentlichen Schlüssel im DNS zeigt. So können Sie mehrere Schlüssel für dieselbe Domain veröffentlichen — zum Beispiel einen für Google Workspace und einen weiteren für ein Marketing-ESP.
Veröffentlichen Sie ihn als TXT-Record unter selector._domainkey.yourdomain.com. Ersetzen Sie selector durch den Wert Ihres Anbieters und yourdomain.com durch Ihre Absenderdomain.
SPF prüft die verbindende IP. Nach einer Weiterleitung ändert sich die verbindende IP und SPF scheitert oft. DKIM signiert den Nachrichteninhalt und ausgewählte Header, sodass die Prüfung nach vielen Weiterleitungen weiterhin funktioniert.
Bevorzugen Sie 2048-Bit-Schlüssel, wenn Ihr DNS-Anbieter lange TXT-Werte unterstützt. Manche älteren DNS-Hosts erfordern das Aufteilen langer Records; die meisten modernen Anbieter verarbeiten 2048-Bit-Schlüssel ohne Probleme.
Nein. Nutzen Sie beides. SPF autorisiert sendende IPs; DKIM signiert Nachrichten. DMARC stimmt diese Ergebnisse dann mit der From-Domain ab und sagt Empfängern, was bei einem Fehlschlag zu tun ist.
Senden Sie eine Testnachricht an ein Postfach, das Sie kontrollieren, öffnen Sie die Roh-Header und suchen Sie nach dkim=pass in Authentication-Results. Sie können auch unser Tool E-Mail-Header-Analyzer nutzen.
Authentifizierung schützt Ihre Domain. Saubere Listen schützen Ihre Reputation. BillionVerify prüft Adressen mit SMTP-Genauigkeit.
600 kostenlose Credits/Monat + 20/Tag Login-Bonus · 99,9% SMTP-Genauigkeit · Sofortiger API-Zugang · Keine Kreditkarte erforderlich
