Softonic

DKIM-Checker

Schritt 1 / 3 DKIM-Schlüssel prüfen

Geben Sie die signierende Domain ein, keine E-Mail-Adresse oder URL.

Weiter

Ein DKIM-Selektor bezeichnet den DNS-Namen, unter dem eine signierende Domain einen öffentlichen Schlüssel veröffentlicht. Geben Sie Domain und Selektor ein, um den aktuell vom DNS zurückgegebenen TXT-Eintrag zu sehen. Dieser Checker unterscheidet zwischen veröffentlichten, widerrufenen, fehlenden und fehlerhaften Schlüsseln sowie einer vorübergehend nicht verfügbaren Antwort. Er prüft keine E-Mail und bestätigt nicht, dass eine Signatur gültig ist.

So prüfen Sie einen DKIM-Selektor

  1. 1

    Signierende Domain eingeben

    Verwenden Sie die Domain aus dem d=-Tag einer DKIM-Signature-Kopfzeile oder die bei Ihrem E-Mail-Anbieter konfigurierte Domain.

  2. 2

    Selektor eingeben

    Verwenden Sie den s=-Wert aus dieser Kopfzeile oder den Anbietereinstellungen, zum Beispiel mail.

  3. 3

    DNS-Schlüsselstatus ablesen

    Der Checker fragt TXT für selector._domainkey.domain ab und erklärt den zurückgegebenen Eintrag.

Was die Abfrage tatsächlich prüft

DKIM verwendet einen Selektor (s=) und eine signierende Domain (d=), um einen öffentlichen Schlüssel zu finden. Bei s=mail und d=example.org lautet der DNS-Hostname mail._domainkey.example.org. Dieses Tool fragt den DNS-Resolver des Servers nach TXT-Einträgen für diesen Hostnamen. Domain und Selektor werden für die Abfrage an den Server gesendet. Ein dort vorhandener öffentlicher Schlüssel belegt seine Veröffentlichung im DNS, nicht die erfolgreiche DKIM-Prüfung einer bestimmten E-Mail.

Ein einzelner TXT-Ressourceneintrag kann mehrere Zeichenfolgen in Anführungszeichen enthalten. DNS fügt diese Zeichenfolgen ohne zusätzliche Leerzeichen zusammen, bevor der Schlüssel ausgewertet wird. Mehrere eigenständige TXT-Ressourceneinträge unter demselben Selektor sind ein anderer Fall: Das Tool meldet eine mehrdeutige Antwort, statt Schlüssel zusammenzufügen. Ein DNS-Timeout wird getrennt von einer leeren Antwort angezeigt, denn aus einer fehlgeschlagenen Abfrage lässt sich kein Fehlen des Schlüssels ableiten.

Beobachtung beim Eintrag Bedeutung hier Nächster Prüfschritt
Unterstützter Schlüssel in p= Öffentlicher Schlüssel veröffentlicht Für ein DKIM-Ergebnis einer bestimmten E-Mail prüfen Sie die Nachricht mit ihren vollständigen Kopfzeilen.
Leeres p= Schlüssel widerrufen Veröffentlichen Sie einen Ersatz und aktualisieren Sie den Signierdienst.
Keine TXT-Antwort Dieser Resolver hat keinen Schlüssel zurückgegeben Prüfen Sie d= und s= und danach die Einstellungen Ihres DNS-Anbieters.
Mehrere TXT-Einträge Mehrdeutige Antwort für den Selektor Entfernen Sie unbeabsichtigte Duplikate.
Resolver-Fehler Antwort derzeit unbekannt Wiederholen Sie die Abfrage, sobald der DNS-Dienst wieder funktioniert.

Ohne k= ist RSA der Standardschlüsseltyp. Der Checker erkennt auch k=ed25519-Schlüssel mit einem 32 Byte langen öffentlichen Schlüssel. Er prüft die unterstützte Schlüsselsyntax. Aus dem veröffentlichten Schlüssel allein lassen sich jedoch weder die Signierkonfiguration noch die Echtheit einer Nachricht, ihre Zustellung im Posteingang oder die DMARC-Ausrichtung ableiten. RFC 6376 definiert die Selektorabfrage und den Widerruf durch einen leeren Schlüssel; RFC 8463 definiert Ed25519 für DKIM.

Häufig gestellte Fragen

Lesen Sie das s=-Tag in der DKIM-Signature-Kopfzeile einer über Ihren Dienst gesendeten Nachricht oder schauen Sie auf dessen DKIM-Einrichtungsseite nach. Das d=-Tag nennt die signierende Domain. Fügen Sie keine vollständige Nachricht in das Domain- oder Selektorfeld ein.

Nein. Für die DKIM-Prüfung braucht man außerdem eine bestimmte Nachricht, ihre Signatur, die Kanonisierung und kryptografische Prüfungen. Ein DNS-Schlüssel zeigt lediglich, was dieser Resolver unter dem Selektornamen gefunden hat.

Ein leerer p=-Wert ist nach RFC 6376 ein ausdrückliches Signal für den Widerruf eines DKIM-Schlüssels. Verwendet ein Signierdienst diesen Selektor noch, braucht er einen neuen Schlüssel und den passenden DNS-Eintrag, bevor Nachrichten damit verifiziert werden können.

Domain und Selektor werden an den Server dieser Website gesendet. Der Server fragt seinen DNS-Resolver nach dem öffentlichen TXT-Eintrag. Weder der E-Mail-Text noch die vollständige Nachricht werden benötigt.

Verwandte Tools

E-Mail-Prüfer für Datenpannen

Überprüfen Sie, ob eine E-Mail-Adresse in einer bekannten Datenpanne aufgetaucht ist, sehen Sie, in welchen Leaks sie betroffen war, und erfahren Sie, was Sie zuerst ändern sollten.

TCP-Portbereich-Scanner

Einen zusammenhängenden TCP-Portbereich eines öffentlichen Internethosts prüfen; angezeigt werden nur angenommene Verbindungen.

TCP-Port-Prüfer

Eine serverseitige TCP-Verbindung zu einem Port eines öffentlichen Internethosts mit fünf Sekunden Zeitlimit versuchen.

SSL-Zertifikat-Prüfer

Prüfen Sie das SSL/TLS-Zertifikat, das ein Host auf Port 443 ausliefert: Subject, Aussteller, Gültigkeitsdaten, Tage bis zum Ablauf, SANs und Signaturalgorithmus.

SPF-Record-Checker

Schlage den SPF-Eintrag einer beliebigen Domain im DNS nach und sieh eine verständliche Aufschlüsselung jedes Mechanismus: ip4, ip6, include, a, mx, all und redirect.

MX-Record-Abfrage

Suchen Sie MX-Einträge für jede Domain, um die Mail-Server zu sehen, die ihre E-Mails verwalten, deren Prioritäten und um Fehlkonfigurationen zu erkennen.

Tool in anderen Sprachen verfügbar