[Schnelle Antwort]
Um DKIM einzurichten, generieren Sie einen Schlüssel in jeder sendenden Plattform (oder mit einem DKIM -Generator), veröffentlichen Sie den öffentlichen Schlüssel als TXT oder CNAME Eintrag unter selector._domainkey.yourdomain.com , aktivieren Sie die Anmeldung auf der Plattform und bestätigen Sie die Signaturdurchläufe mit einer DKIM Suche oder Header-Analyse.
Wichtige Fakten
- ›Standardauswahl Google Workspace : Google.
- ›Microsoft 365 verwendet CNAME Datensätze „selector1“ und „selector2“.
- ›Verwenden Sie 2048-Bit-RSA-Schlüssel, wenn Ihr DNS Host lange TXT Werte zulässt.
Bewertet vom EmailAuth Forschungsteam
Die Einrichtung DKIM umfasst fünf Schritte: Generieren Sie ein Schlüsselpaar, veröffentlichen Sie den öffentlichen Schlüssel im DNS an einem Selektor, aktivieren Sie die Signatur auf Ihrer Sendeplattform, überprüfen Sie, ob Signaturen erfolgreich sind und mit Ihrer Absenderdomäne übereinstimmen, und rotieren Sie dann die Schlüssel nach einem Zeitplan. Die meisten E-Mail-Plattformen generieren die Schlüssel für Sie und stellen Ihnen einen Eintrag zur Verfügung, den Sie in DNS einfügen können. Die Arbeit besteht also größtenteils aus sorgfältigem Kopieren und Verifizieren. Sobald DKIM live ist, fließt es zusammen mit SPF in DMARC Ausrichtung ein.
Bevor Sie beginnen
Listen Sie alle Dienste auf, die E-Mails über Ihre Domain versenden: Ihren Postfachanbieter, Ihr Marketingtool, Ihren Helpdesk, Ihr Abrechnungssystem und alle anderen. Jeder benötigt seinen eigenen DKIM Schlüssel und -Selektor. Das Fehlen eines Dienstes bedeutet, dass seine E-Mails möglicherweise DKIM nicht bestehen und, sobald Sie DMARC erzwingen, im Spam oder Bounce landen. Ein Domain-Scan hilft Ihnen, Absender zu finden, die Sie vergessen haben.
- 1
1. Generieren Sie ein Schlüsselpaar
Erstellen Sie einen öffentlichen und einen privaten Schlüssel, idealerweise 2048-Bit-RSA. Die meisten Plattformen erledigen dies in ihren DKIM Einstellungen für Sie und behalten den privaten Schlüssel auf ihrer Seite. Wenn Sie selbst hosten, generieren Sie das Paar mit Ihren Mailserver-Tools und speichern Sie den privaten Schlüssel sicher.
- 2
2. Veröffentlichen Sie den öffentlichen Schlüssel im DNS
Fügen Sie einen TXT Eintrag unter selector._domainkey.yourdomain.com hinzu, indem Sie den von Ihrer Plattform bereitgestellten Selektor verwenden. Der Wert sieht wie folgt aus: v=DKIM1; k=rsa; p=YOUR_PUBLIC_KEY. Wenn der Schlüssel lang ist, teilen Sie ihn in Zeichenfolgen in Anführungszeichen auf, damit DNS den vollständigen Wert akzeptiert.
- 3
3. Aktivieren Sie die Signatur
Aktivieren Sie DKIM -Signatur auf Ihrer Sendeplattform, damit jede ausgehende Nachricht einen DKIM-Signature Header erhält. Bestätigen Sie die Plattformzeichen mit dem von Ihnen veröffentlichten Selektor und der Domäne.
- 4
4. Überprüfen Sie die Signaturen und Ausrichtung
Senden Sie eine Testnachricht an ein von Ihnen kontrolliertes Postfach und überprüfen Sie die Header auf einen DKIM Pass. Bestätigen Sie, dass die d=-Domäne mit Ihrer Von-Domäne übereinstimmt, sodass DKIM für DMARC ausgerichtet ist. Ein Prüfer oder Domänenscan bestätigt Stärke und Ausrichtung auf einen Blick.
- 5
5. Drehen Sie die Schlüssel nach einem Zeitplan
Planen Sie einen Schlüsselaustausch alle sechs bis zwölf Monate ein. Veröffentlichen Sie einen neuen Selektor, stellen Sie die Signatur auf ihn um, überprüfen Sie, ob er erfolgreich ist, und entfernen Sie dann den alten Datensatz, sobald er von keiner E-Mail verwendet wird.
Aufnahmebeispiel
s1._domainkey.example.com IN TXT „ v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ..." wird auf Zeichenfolgen in Anführungszeichen aufgeteilt, wenn Ihr DNS die Datensatzlänge begrenzt.
Häufige Einrichtungsfehler
- Einfügen des Schlüssels mit Zeilenumbrüchen oder Leerzeichen, die den Wert beschädigen.
- Veröffentlichung unter dem falschen Selektornamen, sodass der Datensatz scheinbar fehlt.
- Verwendung eines 1024-Bit-Schlüssels, wenn 2048-Bit verfügbar ist.
- Einen Sendedienst vergessen, sodass seine E-Mails unsigniert bleiben.
- Das Signieren wird aktiviert, es wird jedoch nie überprüft, ob die Domäne mit From für DMARC übereinstimmt.
Überprüfen und dann durchsetzen
Nachdem DKIM bestanden und ausgerichtet wurde, bewegen Sie DMARC in Richtung Durchsetzung. Beginnen Sie bei p=none , um Berichte anzusehen, bestätigen Sie die Authentifizierung aller Ihrer Absender und gehen Sie dann zu p=quarantine und p=reject. Google und Yahoo verlangen seit 2024 von Massenversendern eine Authentifizierung, daher ist eine verifizierte DKIM Einrichtung Teil des Erreichens des Posteingangs. EmailAuth überwacht Ihre Selektoren nach der Einrichtung, kennzeichnet schwache oder veraltete Schlüssel und bestätigt, dass DKIM ausgerichtet bleibt, wenn Sie neue Absender hinzufügen.
Häufig gestellte Fragen
Wie lange dauert es, bis DKIM funktioniert, nachdem ich den Datensatz veröffentlicht habe?
Der DNS Eintrag muss verbreitet werden, was normalerweise Minuten dauert, aber je nach Anbieter und TTL bis zu einem Tag dauern kann. Sobald der öffentliche Schlüssel im DNS sichtbar ist und die Signatur aktiviert ist, können Empfänger Ihre E-Mails verifizieren. Senden Sie eine Testnachricht und überprüfen Sie die Header, um zu bestätigen, dass sie erfolgreich ist.
Kann ich einen DKIM Schlüssel für alle meine Versandtools verwenden?
Es ist sauberer, jedem Dienst einen eigenen Selektor und Schlüssel zu geben, da der private Schlüssel auf dieser Plattform verbleibt. Die gemeinsame Nutzung eines Schlüssels über mehrere Tools hinweg ist nicht praktikabel, da jede Plattform ihren eigenen privaten Schlüssel besitzt. Die Verwendung eines Selektors pro Dienst erleichtert außerdem die Rotation und Fehlerbehebung.
Welche Schlüssellänge sollte ich für DKIM verwenden?
Verwenden Sie 2048-Bit-RSA, sofern Ihr DNS Anbieter und Ihre Plattform dies unterstützen. Er ist stärker als der ältere 1024-Bit-Standard, von dem einige Receiver mittlerweile abraten. Wenn ein langer Schlüssel nicht in eine TXT Zeichenfolge passt, teilen Sie ihn in mehrere Zeichenfolgen in Anführungszeichen auf.
Benötige ich weiterhin SPF und DMARC wenn DKIM eingerichtet ist?
Ja. DKIM beweist, dass die Nachricht signiert und unverändert war, aber DMARC verknüpft die Authentifizierung mit Ihrer sichtbaren Absenderdomäne und teilt den Empfängern mit, was bei Fehlern zu tun ist. SPF bietet einen zweiten Ausrichtungspfad. Alle drei zusammen sind das, was Google und Yahoo von Massenversendern erwarten.
Wie konfiguriere ich DKIM ?
Aktivieren Sie DKIM in Ihrer E-Mail-Plattform, kopieren Sie den angezeigten DNS Eintrag, veröffentlichen Sie ihn, warten Sie, bis sich DNS verbreitet, und klicken Sie auf „Verifizieren“ oder „Signieren starten“.
Wie lange dauert es, bis DKIM wirkt?
In der Regel Minuten bis einige Stunden, abhängig von DNS Weitergabe und der TTL Ihres Anbieters.
[ DKIM Führung ]
Unternehmensherkunft
Warum Top-Finanzinstitute und Regierungen haben ihre E-Mail-Sicherheits-Dashboards eingestellt.
Herkömmliche E-Mail-Authentifizierungsplattformen verkaufen Ihnen ein Dashboard und bitten Ihre Techniker, die Arbeit zu erledigen. In Umgebungen mit hohem Risiko führt die manuelle Überwachung zu verzögerter Durchsetzung, Konfigurationsabweichungen und nicht überwachten Schattendomänen.
EmailAuth ist die Agenten-E-Mail-Herkunftsplattform. Unsere Agenten setzen durch p=reject, halten Sie die Absender von Drittanbietern auf dem Laufenden und verschieben Sie Ihre Domains auf voll RFC 9989 Compliance, der neue DMARC Standard, mit Human-in-the-Loop-Überprüfbarkeit.
SaaS · Dedizierte Mandantenfähigkeit · Air-Gap-On-Prem · BYOK-Verschlüsselung