Im DNS steht der DKIM-Schlüssel, trotzdem melden Empfänger keine gültige Signatur. Das wirkt widersprüchlich, hat aber eine einfache mögliche Erklärung: Der öffentliche Schlüssel ist nur eine Hälfte der Einrichtung. Der Versanddienst muss ausgehende Nachrichten auch tatsächlich signieren.
Was der Empfänger überprüfen kann
DKIM verbindet eine Signatur in der Nachricht mit einem öffentlichen Schlüssel im DNS. Damit lässt sich prüfen, ob die signierten Teile seit der Signierung verändert wurden und welche Domain die Signatur verantwortet. Das ist keine Verschlüsselung des E-Mail-Inhalts.
Zum DNS-Namen gehört ein Selektor. Ein Anbieter kann etwa einen bestimmten Namen unter _domainkey vorgeben. Übernimm genau diese Vorgabe; ein richtiger Schlüssel unter einem falschen Namen lässt sich bei der Prüfung nicht finden. Manche Dienste verwenden dafür statt eines direkten TXT-Wertes einen vorgegebenen CNAME.
Aktivierung und Nachweis verbinden
Prüfe im Versanddienst, ob die Domain bestätigt und die Signierung aktiv ist. Sende anschließend eine neue Nachricht an ein unabhängiges Konto. Eine Nachricht von vor der Aktivierung sagt nichts über die aktuelle Einrichtung aus.
Lies das Authentifizierungsergebnis in den vollständigen Kopfzeilen. Achte darauf, welcher Versandweg verwendet wurde: Eine Nachricht aus dem Mailprogramm kann anders behandelt werden als eine aus dem Kontaktformular oder dem Newsletter-System.
Schlüsselwechsel nicht überstürzen
Bei einer Umstellung können vorübergehend alte und neue Selektoren benötigt werden. Entferne einen alten Schlüssel erst im abgestimmten Ablauf mit dem Anbieter. Andernfalls könnten noch unterwegs befindliche Nachrichten ihre Prüfbarkeit verlieren.
Die DKIM-Erklärung von Cloudflare ordnet Signatur, öffentlichen Schlüssel und Selektor ein. Für deine eigene Dokumentation reichen zunächst Dienst, Selektor, Aktivierungsdatum und ein geprüftes Testergebnis.
Wenn mehrere Systeme senden, plane ihre Einrichtung gemeinsam mit der SPF-Konfiguration. Ein grünes Ergebnis bei einem einzigen Versandweg beweist noch nicht, dass alle anderen Systeme ebenfalls richtig eingerichtet sind.