[Schnelle Antwort]
DKIM (DomainKeys Identified Mail) fügt jeder E-Mail eine kryptografische Signatur hinzu. Der sendende Server signiert mit einem privaten Schlüssel und die Empfänger verifizieren ihn mit einem öffentlichen Schlüssel, der im DNS unter selector._domainkey.yourdomain.com veröffentlicht ist. Es beweist, dass die Nachricht von Ihrer Domain stammt und nicht verändert wurde ( RFC 6376 ).
Wichtige Fakten
- ›Öffentlicher Schlüssel, veröffentlicht als TXT (oder CNAME )Eintrag unter <selector>. _domainkey .<domain>.
- ›Verwenden Sie RSA-Schlüssel mit mindestens 2048 Bit; 1024-Bit-Schlüssel gelten als schwach.
- ›Eine Domain kann viele Selektoren haben, einen pro Sendedienst.
- ›Die d=-Domäne in der Signatur muss mit From für DMARC übereinstimmen.
- ›Drehen Sie die Schlüssel regelmäßig, indem Sie einen neuen Selektor veröffentlichen.
Bewertet vom EmailAuth Forschungsteam
DKIM (DomainKeys Identified Mail) ist ein E-Mail-Authentifizierungsstandard, der jeder Nachricht, die eine Domain sendet, eine kryptografische Signatur hinzufügt. Der empfangende Server verwendet einen in Ihrem DNS veröffentlichten öffentlichen Schlüssel, um diese Signatur zu überprüfen. Wenn es ausgecheckt wird, weiß der Empfänger, dass die Nachricht von Ihrer Domain autorisiert wurde und dass wichtige Teile davon unterwegs nicht geändert wurden. DKIM arbeitet mit SPF und DMARC zusammen, um die Echtheit Ihrer E-Mails zu beweisen und gefälschte Nachrichten aus den Posteingängen fernzuhalten.
So funktioniert DKIM
DKIM verwendet ein öffentliches und privates Schlüsselpaar. Ihr sendender Server verfügt über den privaten Schlüssel und signiert jede ausgehende Nachricht damit. Der passende öffentliche Schlüssel befindet sich in einem DNS TXT Eintrag an einem Ort, der aus Ihrem Selektor erstellt wurde, z. B. selector1._domainkey.example.com . Wenn ein Empfänger Ihre Nachricht erhält, liest er den Selektor und die Domäne aus dem DKIM-Signature Header, ruft den öffentlichen Schlüssel vom DNS ab und bestätigt die Signatur. Eine gültige Signatur bedeutet, dass die E-Mail von einer Partei signiert wurde, die über Ihren privaten Schlüssel verfügt, und dass der signierte Inhalt während der Übertragung nicht verändert wurde.
- Privater Schlüssel: wird auf Ihrer Sendeplattform gespeichert und niemals weitergegeben; es erzeugt die Signatur.
- Öffentlicher Schlüssel: Wird im DNS am Selektor veröffentlicht, sodass jeder Empfänger ihn überprüfen kann.
- Selektor: eine Bezeichnung, mit der Sie mehrere Schlüssel gleichzeitig ausführen können, beispielsweise einen pro Sendedienst.
- Signatur: Der dem Nachrichtentext hinzugefügte DKIM-Signature Header und ausgewählte Header.
Was die Signatur abdeckt
DKIM signiert einen Hash des Nachrichtentexts sowie eines ausgewählten Satzes von Headern, üblicherweise „Von“, „Betreff“, „Datum“ und „An“. Wenn sich nach dem Senden ein signiertes Feld ändert, stimmt der Hash nicht mehr überein und die Überprüfung schlägt fehl. Aus diesem Grund erkennt DKIM Manipulationen. Die Nachricht wird nicht verschlüsselt. es beweist Herkunft und Integrität, nicht Vertraulichkeit.
DKIM Ausrichtung und DMARC
Eine bestandene DKIM -Signatur ist für DMARC nur die halbe Miete. DMARC prüft auch die Ausrichtung, was bedeutet, dass die Domäne in der DKIM -Signatur (das d=-Tag) mit der Domäne in der sichtbaren Absenderadresse übereinstimmen muss. Wenn die Signaturdomäne und die Von-Domäne übereinstimmen, ist DKIM ausgerichtet und kann DMARC erfüllen. SPF bietet einen zweiten Weg zur Ausrichtung, daher konfigurieren die meisten Absender beide. Durch die Angleichung mindestens einer davon können Sie DMARC von der Überwachung zur Durchsetzung überführen.
Wie ein DKIM Eintrag aussieht
selector1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..." wobei v die Version, k der Schlüsseltyp und p der öffentliche Schlüssel ist.
Warum DKIM jetzt wichtig ist
Im Jahr 2024 begannen Google und Yahoo von Massenversendern eine Authentifizierung mit SPF , DKIM und DMARC zu verlangen. E-Mails, die diese Prüfungen nicht bestehen, können gedrosselt oder abgelehnt werden. DKIM übersteht die Weiterleitung auch besser als SPF , da eine weitergeleitete Nachricht ihre Signatur auch dann behält, wenn sich die sendende IP ändert, solange der signierte Inhalt intakt bleibt. Ein starkes DKIM ist jetzt eine Basis, um den Posteingang in großem Maßstab zu erreichen.
DKIM gesund halten
Verwenden Sie 2048-Bit-RSA-Schlüssel, wenn Ihr DNS und Ihre Plattform dies zulassen, da 1024-Bit-Schlüssel schwächer sind und einige Empfänger sie mit Argwohn behandeln. Tauschen Sie Schlüssel nach einem Zeitplan aus und entfernen Sie Selektoren, die Sie nicht mehr verwenden. EmailAuth überwacht Ihre aktiven Selektoren, kennzeichnet schwache oder veraltete Schlüssel und zeigt an, ob DKIM für DMARC ausgerichtet ist. Ein kostenloser Domain-Scan meldet Ihre aktiven Selektoren, Schlüsselstärke und Ausrichtung in einem Durchgang, sodass Sie Lücken schließen können, bevor es Empfänger tun.
Häufig gestellte Fragen
Verschlüsselt DKIM meine E-Mails?
Nein. DKIM fügt eine kryptografische Signatur hinzu, die beweist, dass die Nachricht von Ihrer Domain stammt und während der Übertragung nicht verändert wurde. Es schützt Herkunft und Integrität, nicht Vertraulichkeit. Der Nachrichtentext selbst ist weiterhin für jeden lesbar, der ihn abfängt, es sei denn, Sie verwenden eine separate Transportverschlüsselung.
Was ist ein DKIM Selektor?
Ein Selektor ist eine Bezeichnung, die auf einen bestimmten öffentlichen Schlüssel in Ihrem DNS verweist. Damit können Sie mehrere DKIM Schlüssel gleichzeitig veröffentlichen, beispielsweise einen anderen für jeden Sendedienst. Der Empfänger liest den Selektor aus dem DKIM-Signature -Header und verwendet ihn, um den richtigen öffentlichen Schlüssel unter selector._domainkey.yourdomain.com zu finden.
Benötige ich DKIM wenn ich bereits SPF habe?
Ja. SPF und DKIM prüfen unterschiedliche Dinge, und DMARC kann sich auf beides ausrichten. DKIM übersteht die Weiterleitung besser als SPF , sodass Sie mit beiden einen besseren Weg zur DMARC Ausrichtung haben. Google und Yahoo erwarten nun, dass Massenversender SPF , DKIM und DMARC gemeinsam verwenden.
Wie oft sollte ich DKIM -Schlüssel wechseln?
Eine gängige Praxis besteht darin, die Schlüssel alle sechs bis zwölf Monate zu wechseln, bei Verdacht, dass ein Schlüssel offengelegt wurde, auch früher. Durch die Rotation wird der Schaden durch einen durchgesickerten privaten Schlüssel begrenzt. EmailAuth markiert veraltete Schlüssel, sodass Sie wissen, wann eine Aktualisierung eines Selektors überfällig ist.
Was ist DKIM in E-Mails?
Dabei handelt es sich um eine digitale Signatur, die den Nachrichtenkopfzeilen hinzugefügt wird und es den Empfängern ermöglicht, die Absenderdomäne zu überprüfen und sicherzustellen, dass der Inhalt während der Übertragung nicht geändert wurde.
Wie funktioniert DKIM ?
Der Absender hasht ausgewählte Header und den Text, signiert den Hash mit einem privaten Schlüssel und fügt einen DKIM-Signature Header hinzu. Der Empfänger ruft mithilfe des Selektors den öffentlichen Schlüssel vom DNS ab und überprüft die Signatur.
Können Sie mehrere DKIM Einträge haben?
Ja, einer pro Selektor. Jeder sendende Dienst erhält normalerweise seinen eigenen Selektor und Schlüssel.
Wie richte ich DKIM ein?
Aktivieren Sie DKIM in jedem Sendedienst, veröffentlichen Sie den TXT oder CNAME Eintrag, den Sie erhalten, und überprüfen Sie ihn dann mit einer DKIM Suche.
[ DKIM Führung ]
Unternehmensherkunft
Warum Top-Finanzinstitute und Regierungen haben ihre E-Mail-Sicherheits-Dashboards eingestellt.
Herkömmliche E-Mail-Authentifizierungsplattformen verkaufen Ihnen ein Dashboard und bitten Ihre Techniker, die Arbeit zu erledigen. In Umgebungen mit hohem Risiko führt die manuelle Überwachung zu verzögerter Durchsetzung, Konfigurationsabweichungen und nicht überwachten Schattendomänen.
EmailAuth ist die Agenten-E-Mail-Herkunftsplattform. Unsere Agenten setzen durch p=reject, halten Sie die Absender von Drittanbietern auf dem Laufenden und verschieben Sie Ihre Domains auf voll RFC 9989 Compliance, der neue DMARC Standard, mit Human-in-the-Loop-Überprüfbarkeit.
SaaS · Dedizierte Mandantenfähigkeit · Air-Gap-On-Prem · BYOK-Verschlüsselung