Ein DKIM Datensatzprüfer sucht nach dem an einem bestimmten Selektor veröffentlichten öffentlichen Schlüssel und bestätigt, dass er gültig, wohlgeformt und stark genug ist, damit die Empfänger ihm vertrauen können. Es liest den DKIM-Signature Header, den Ihre E-Mail sendet, findet den Selektor und die Domäne und ruft dann den passenden TXT Eintrag im DNS ab, um den Schlüsseltyp und die Schlüssellänge zu überprüfen und ob DKIM mit Ihrer Absenderdomäne für DMARC übereinstimmt. Wenn Sie einen Scan ausführen, erfahren Sie in Sekundenschnelle, ob Ihre Signatureinrichtung funktioniert.
Was ein Prüfer überprüft
- Der Selektor ist vorhanden und gibt einen gültigen öffentlichen Schlüssel unter selector._domainkey.yourdomain.com zurück.
- Der Schlüsseltyp und die Version sind korrekt, zum Beispiel v=DKIM1 und k=rsa.
- Schlüsselstärke, wobei 2048-Bit gegenüber dem schwächeren 1024-Bit bevorzugt wird.
- Ob die Signaturdomäne in d= mit Ihrer sichtbaren Von-Domäne für DMARC übereinstimmt.
- Dass keine Syntaxfehler oder abgeschnittenen Schlüssel dazu führen würden, dass die Überprüfung fehlschlägt.
Warum Sie den Selektor überprüfen, nicht die bloße Domain
DKIM Schlüssel befinden sich nicht im Stammverzeichnis Ihrer Domain. Sie befinden sich unter einem Selektor, sodass sie bei einer einfachen Domänensuche nicht gefunden werden können. Sie müssen wissen, welche Selektoren Ihre Plattformen verwenden, da jeder E-Mail-Dienst mit seinen eigenen signiert. Eine Nachricht von Ihrem Marketing-Tool und eine Nachricht von Ihrem Helpdesk können unterschiedliche Selektoren enthalten und beide benötigen gültige Schlüssel. Ein guter Prüfer prüft echte Nachrichtenkopfzeilen oder ermöglicht es Ihnen, jeden Selektor anhand seines Namens zu testen.
Schlüsselstärke lesen
Die Länge des öffentlichen Schlüssels ist das Hauptstärkesignal. Ein 1024-Bit-Schlüssel führt bei den meisten Empfängern immer noch eine Verifizierung durch, ist aber leichter anzugreifen und einige Anbieter raten inzwischen davon ab. Die aktuelle Empfehlung ist ein 2048-Bit-RSA-Schlüssel. Wenn Ihr DNS Anbieter die Länge TXT Eintrags begrenzt, teilen Sie den Wert in Zeichenfolgen in Anführungszeichen auf, damit der vollständige Schlüssel korrekt veröffentlicht wird. Ein Prüfer warnt Sie, wenn ein Schlüssel abgeschnitten oder schwach aussieht.
Überprüfen Sie den gesamten Authentifizierungssatz
DKIM allein stoppt Spoofing nicht. Koppeln Sie es mit SPF und einer DMARC Richtlinie bei p=quarantine oder p=reject, und bestätigen Sie, dass DKIM mit Ihrer From-Domain übereinstimmt, damit DMARC passieren kann.
Führen Sie einen kostenlosen Domain-Scan durch
EmailAuth führt einen kostenlosen Domain-Scan durch, der Ihre aktiven DKIM Selektoren findet, den Typ und die Stärke jedes Schlüssels meldet und anzeigt, ob DKIM für DMARC ausgerichtet ist. Außerdem werden Ihre SPF und DMARC Datensätze im selben Durchgang überprüft, sodass Sie das vollständige Authentifizierungsbild und nicht nur einen Teil davon sehen. Wenn ein Selektor fehlt, schwach oder falsch ausgerichtet ist, sagt Ihnen der Scan genau, was behoben werden muss.
Von der Prüfung bis zur Überwachung
Eine einmalige Prüfung ist eine Momentaufnahme. Selektoren werden hinzugefügt, wenn Sie neue Tools einbinden, Schlüssel veralten und ein Anbieter kann die Signatur ändern, ohne es Ihnen mitzuteilen. EmailAuth überwacht Ihre Selektoren im Laufe der Zeit, kennzeichnet schwache oder abgelaufene Schlüssel und benachrichtigt Sie, wenn die Ausrichtung unterbrochen wird. Die kontinuierliche Überwachung sorgt dafür, dass DKIM funktioniert, wenn sich Ihr Sendestapel ändert.
Häufig gestellte Fragen
Wie finde ich meinen DKIM Selektor?
Sehen Sie sich den DKIM-Signature Header einer von Ihnen gesendeten E-Mail an. Das s=-Tag ist der Selektor und das d=-Tag ist die signierende Domäne. Sie können auch DNS Einrichtungsanweisungen Ihrer E-Mail-Plattform überprüfen, in denen der zu veröffentlichende Selektor benannt ist. Ein DKIM Prüfer kann den Selektor direkt aus einem Beispiel-Nachrichtenheader lesen.
Warum wird mein DKIM -Eintrag bei einer DNS Suche nicht angezeigt?
DKIM Schlüssel werden unter einem Selektor veröffentlicht, nicht in Ihrer Stammdomäne, sodass sie bei einer einfachen Suche unter yourdomain.com nicht gefunden werden können. Sie müssen selector._domainkey.yourdomain.com mit dem richtigen Selektornamen abfragen. Wenn Sie den falschen Selektor verwenden, scheint der Datensatz zu fehlen, selbst wenn DKIM korrekt eingerichtet ist.
Ist ein 1024-Bit- DKIM Schlüssel noch sicher?
Bei den meisten Empfängern wird die Überprüfung immer noch durchgeführt, aber 1024-Bit-Schlüssel sind schwächer und einige Anbieter raten jetzt davon ab. Die aktuelle Empfehlung ist 2048-Bit-RSA. Führen Sie ein Upgrade durch, wenn Ihr DNS und Ihre Sendeplattform dies unterstützen und ein Scan alle Schlüssel erkennt, die unzureichend sind.
Kann mir ein Prüfer sagen, ob DKIM für DMARC ausgerichtet ist?
Ja. Ausrichtung bedeutet, dass die signierende Domäne im DKIM -d=-Tag mit Ihrer sichtbaren Absenderdomäne übereinstimmt. Ein DKIM Prüfer oder ein vollständiger Domänenscan meldet, ob die Übereinstimmung zutrifft. Dadurch kann DKIM DMARC erfüllen und Sie können zu einer Durchsetzungsrichtlinie übergehen.
Unternehmensherkunft
Warum Top-Finanzinstitute und Regierungen haben ihre E-Mail-Sicherheits-Dashboards eingestellt.
Herkömmliche E-Mail-Authentifizierungsplattformen verkaufen Ihnen ein Dashboard und bitten Ihre Techniker, die Arbeit zu erledigen. In Umgebungen mit hohem Risiko führt die manuelle Überwachung zu verzögerter Durchsetzung, Konfigurationsabweichungen und nicht überwachten Schattendomänen.
EmailAuth ist die Agenten-E-Mail-Herkunftsplattform. Unsere Agenten setzen durch p=reject, halten Sie die Absender von Drittanbietern auf dem Laufenden und verschieben Sie Ihre Domains auf voll RFC 9989 Compliance, der neue DMARC Standard, mit Human-in-the-Loop-Überprüfbarkeit.
SaaS · Dedizierte Mandantenfähigkeit · Air-Gap-On-Prem · BYOK-Verschlüsselung