DKIM
In einem Satz
DKIM, DomainKeys Identified Mail, ergänzt jede gesendete E-Mail um eine digitale Signatur. Du veröffentlichst einen passenden öffentlichen Schlüssel im DNS. Empfangende Server können damit prüfen, ob die Nachricht wirklich von deiner Domain stammt und unterwegs nicht verändert wurde.
Ein Siegel auf jeder Nachricht
Stell dir DKIM wie ein Wachssiegel vor. Dein Maildienst signiert jede ausgehende Nachricht mit einem privaten Schlüssel, den nur er besitzt. Du veröffentlichst den passenden öffentlichen Schlüssel in deinem DNS. Ein empfangender Server liest die Signatur, schlägt deinen öffentlichen Schlüssel nach und prüft, ob sie zusammenpassen. Ist das der Fall, ist die Nachricht echt und seit dem Versand unverändert.
Was du im DNS ergänzt
Der öffentliche Schlüssel steht in einem DNS-Eintrag unter einem besonderen Namen mit einem Selektor. Diese Bezeichnung erlaubt einer Domain mehrere Schlüssel zugleich, etwa einen je Maildienst. Der Name sieht so aus: selector1._domainkey.example.com. Der Wert ist eine lange Folge aus Buchstaben und Zahlen. Manche Dienste verlangen stattdessen einen CNAME-Eintrag, der auf einen Schlüssel zeigt, den sie für dich verwalten und wechseln.
Kopiere den Eintrag immer genau so, wie dein Maildienst ihn zeigt. Ein fehlendes Zeichen lässt die Prüfung scheitern, und der lange Wert wird leicht versehentlich gekürzt. Manche DNS-Editoren teilen sehr lange Werte auf. Das ist in Ordnung, wenn der Dienst es so angibt.
Ein Schlüssel je Absender
Jeder Dienst, der E-Mails unter deiner Domain sendet, braucht eine eigene DKIM-Einrichtung. Deshalb wächst die Zahl der Einträge mit der Zahl der Dienste. Das ist normal. Entferne einen Eintrag, wenn du den zugehörigen Dienst nicht mehr nutzt, aber erst, wenn du sicher bist, dass er nicht mehr gebraucht wird.
Warum es hilft
Eine signierte Nachricht erreicht eher das Postfach. Empfänger können außerdem erkennen, welche Nachrichten wirklich von dir stammen. Zusammen mit SPF, das zulässige Absender aufführt, und DMARC, das die Richtlinie festlegt, erschwert DKIM überzeugende gefälschte E-Mails in deinem Namen erheblich.
DKIM und deine Website
Website und E-Mail sind getrennt. Eine Domain mit einer Website zu verbinden verändert DKIM nicht, solange die Maileinträge erhalten bleiben. Die Anleitung zum Verbinden einer Domain mit einer Website zeigt, wie du nur das Nötige änderst.
Häufige Fragen
Was ist ein DKIM-Selektor?
Ein Selektor ist eine Bezeichnung im DNS-Namen eines DKIM-Schlüssels. Damit kann eine Domain mehrere Schlüssel zugleich veröffentlichen, zum Beispiel einen je Maildienst. So lässt sich jeder hinzufügen, ändern oder entfernen, ohne die anderen zu beeinflussen.
Muss ich DKIM selbst einrichten?
Dein Maildienst gibt dir meist den genauen Eintrag, den du beim DNS-Hoster ergänzen musst. Das ist deine Aufgabe, weil nur du dein DNS bearbeiten kannst. Sobald der Eintrag vorhanden ist, beginnt der Dienst, Nachrichten zu signieren.