Signaturen und Schlüssel
DKIM signiert Teile einer E-Mail. Empfänger können die Signatur mit einem öffentlichen DNS-Schlüssel prüfen. Der Schlüssel gehört zur Signaturdomain d=; der Selektor s= bestimmt den Namen unter _domainkey. Unser Domain-Check untersucht diesen Schlüssel, ohne eine E-Mail auszuwerten.
Den richtigen Selektor finden
Nutze s= aus dem DKIM-Signature-Header einer tatsächlich versendeten Nachricht oder die Angaben deines Versanddienstes. Gib nur den Selektor ein, beispielsweise default, nicht die vollständige DNS-Adresse. Mehrere Versanddienste können unterschiedliche Selektoren verwenden. Ein fehlender Eintrag an einem Namen beweist deshalb kein grundsätzlich fehlendes DKIM.
Schlüssel und Ampel
RSA unter 1024 Bit erfüllt die aktuellen Mindestanforderungen nicht; mindestens 2048 Bit ist empfohlen. Ed25519 ist ein weiterer DKIM-Algorithmus. Ein leeres p= zieht den Schlüssel zurück. Die Ampel unterscheidet einen lesbaren Schlüssel, Hinweise und erkannte Probleme. Sie bestätigt keine konkrete Signatur oder DMARC-Ausrichtung.
Praktisch vorgehen
Vergleiche den angezeigten DNS-Namen und Algorithmus mit deinem Anbieter. Prüfe bei Schlüsselwechseln auch ältere aktive Selektoren. Private Schlüssel gehören niemals in ein öffentliches Prüftool. Der E-Mail-Domain-Check fragt ausschließlich veröffentlichte öffentliche DNS-Daten ab.