DKIM-Eintrag prüfen und validieren

Prüfe direkt nach dem Anlegen oder Ändern des DNS-Eintrags eines Mail-Anbieters. Google Workspace nutzt meist den Selector google, Microsoft 365 nutzt selector1 und selector2, Amazon SES vergibt drei zufällige CNAME-Selectors, Mailchimp nutzt k1 (und k2/k3), SendGrid üblicherweise s1 und s2.

Prüfe DKIM, wenn Nachrichten im Spam landen oder DMARC-Reports dkim=fail zeigen. Ein fehlender oder fehlerhafter Eintrag ist eine der häufigsten Ursachen.

Verifiziere bei der Schlüsselrotation beide Selectors: Anbieter veröffentlichen den neuen Schlüssel auf einem zweiten Selector, bevor der alte abgeschaltet wird — beide müssen auflösbar sein, solange alte Signaturen noch unterwegs sind.

Wird kein Eintrag gefunden, prüfe die exakte Schreibweise des Selectors und dass der TXT- (oder CNAME-)Eintrag unter selector._domainkey.deinedomain.com liegt — ein klassischer Fehler ist die Veröffentlichung auf der Apex-Domain oder die doppelte Domain im Host-Feld.

Ist der Eintrag vorhanden, aber ungültig, sieh dir die geparsten Tags an: ein fehlendes v=DKIM1, ein abgeschnittener p=-Wert (DNS-Panels teilen lange Schlüssel oft in mehrere Strings in Anführungszeichen) oder überflüssige Leerzeichen brechen die Verifikation.

Ein leeres p=-Tag bedeutet, dass der Schlüssel bewusst widerrufen wurde. Das t=y-Flag heißt Testmodus: Empfänger prüfen die Signatur, setzen sie aber nicht strikt durch — entferne das Flag, sobald der Rollout bestätigt ist.

Mit DKIM signiert der sendende Server jede Nachricht mit einem privaten Schlüssel; Empfänger holen den passenden öffentlichen Schlüssel per DNS über den Selector aus dem DKIM-Signature-Header (s=-Tag). Selectors erlauben einer Domain, mehrere Schlüssel gleichzeitig zu veröffentlichen.

Die Schlüssellänge zählt: 1024-Bit-RSA-Schlüssel werden noch akzeptiert, gelten aber als schwach; die meisten Anbieter vergeben inzwischen 2048-Bit-Schlüssel. Manche DNS-Panels verlangen, den langen Base64-String in zwei Teilstrings zu splitten.

Rotiere Schlüssel, indem du den neuen Schlüssel unter einem neuen Selector veröffentlichst, das Signieren umstellst und erst dann den alten Eintrag entfernst oder widerrufst. Die Einzelprüfung jedes Selectors bestätigt jeden Schritt.

Den Eintrag kannst du auch mit dig TXT selector._domainkey.example.com abfragen, musst dann aber Tags und Schlüssellänge selbst auswerten. Der Validator macht das automatisch und erklärt jeden Befund.

Die Authentication-Results-Header einer empfangenen Nachricht zeigen, ob eine konkrete Mail bestanden hat. Der Validator beantwortet die vorgelagerte Frage: Ist der veröffentlichte Eintrag überhaupt vorhanden und gültig?

Komplette Deliverability-Suiten testen Seed-Postfächer und Reputation. Dieses Tool deckt das DNS-Fundament ab, von dem alles andere abhängt — schnell, kostenlos und per API automatisierbar.