[Schnelle Antwort]
Eine DKIM Signatur ist der DKIM-Signature Header, der einer E-Mail hinzugefügt wird. Es enthält die Signaturdomäne ( d=), den Selektor ( s=), den Algorithmus ( a=), signierte Header ( h=), den Body-Hash ( bh=) und die Signatur selbst ( b=).
Wichtige Fakten
- ›d= must align with the From domain for DMARC.
- ›bh= is a hash of the body; any change after signing breaks it.
- ›Bei der Weiterleitung bleibt DKIM im Gegensatz zu SPF normalerweise erhalten.
Bewertet vom EmailAuth Forschungsteam
Eine DKIM-Signature ist ein Header, den Ihr sendender Server jeder Nachricht hinzufügt. Es trägt eine kryptografische Signatur über den Nachrichtentext und einen ausgewählten Satz von Headern sowie die Informationen, die ein Empfänger zur Überprüfung benötigt: welche Domäne die E-Mail signiert hat, welcher Selektor den öffentlichen Schlüssel enthält und welcher Algorithmus verwendet wurde. Der Empfänger liest diesen Header, ruft Ihren öffentlichen Schlüssel vom DNS ab und bestätigt die Signatur. Ein Pass bedeutet, dass die E-Mail von Ihrer Domain autorisiert wurde und während der Übertragung nicht verändert wurde.
Die Tags innerhalb einer DKIM-Signature
Der Header besteht aus einer Reihe von tag=value Paaren, die durch Semikolons getrennt sind. Jedes Tag teilt dem Empfänger etwas mit, das er zur Überprüfung der Nachricht benötigt. Die wichtigsten sind diese.
- v: die DKIM Version, derzeit 1.
- a: der Signaturalgorithmus, zum Beispiel rsa-sha256.
- d: die signierende Domäne, die Domäne, die die Verantwortung für die Nachricht übernimmt.
- s: der Selektor, der auf den öffentlichen Schlüssel im DNS verweist.
- bh: der Hash des Nachrichtentextes.
- b: die tatsächliche kryptografische Signatur über den Headern und dem Body-Hash.
- h: die Liste der Header-Felder, die signiert wurden, z. B. from:subject:date:to.
Beispiel für DKIM-Signature -Header
v=1; a=rsa-sha256; d=example.com; s=s1; h=from:subject:date:to; bh=frcCV1k9oG9...; b=dzdVyOfAKCdLXd...
So funktioniert die Verifizierung
Wenn eine Nachricht eintrifft, liest der Empfänger die d=-Domäne und den s=-Selektor und sucht dann bei s nach dem öffentlichen Schlüssel. _domainkey.d , zum Beispiel s1._domainkey.example.com . Es berechnet den Body-Hash neu und vergleicht ihn mit dem bh-Tag. Dann verwendet es den öffentlichen Schlüssel, um die b-Signatur mit den in h aufgeführten signierten Headern zu vergleichen. Wenn beide übereinstimmen, besteht DKIM . Wenn sich der Text oder ein signierter Header nach dem Senden ändert, unterscheiden sich die Hashes und die Überprüfung schlägt fehl, wodurch DKIM Manipulationen erkennt.
Die Rolle der h- und bh-Tags
Das bh-Tag ist ein Hash des Nachrichtentexts und wird daher durch jede Änderung am Nachrichteninhalt beschädigt. Das h-Tag listet auf, welche Header geschützt sind, und die b-Signatur deckt genau diese Header ab. Das Signieren von „Von“ ist unbedingt erforderlich, da dies die Adresse ist, die die Empfänger sehen. Unterzeichner lassen den Body-Hash oft tolerant gegenüber nachgestellten Leerzeichen, sodass die Signatur durch die normale E-Mail-Verarbeitung nicht beschädigt wird und dennoch echte Änderungen abgefangen werden.
Signatur, Ausrichtung und DMARC
Eine gültige DKIM -Signatur ist für DMARC erforderlich, aber nicht ausreichend. DMARC prüft außerdem, ob die d=-Domäne mit Ihrer sichtbaren Von-Domäne übereinstimmt. Wenn sie übereinstimmen, ist DKIM ausgerichtet und kann DMARC alleine erfüllen. SPF bietet einen zweiten Ausrichtungspfad. Da die DKIM Signatur mit der Nachricht übertragen wird, überlebt sie oft die Weiterleitung, wenn SPF unterbrochen wird, was DKIM Ausrichtung für das Erreichen des Posteingangs wertvoll macht.
Beobachten Sie Ihre Unterschriften im Laufe der Zeit
Signaturen können stillschweigend unterbrochen werden, wenn ein Anbieter die Signatur ändert, ein Selektor außer Betrieb genommen wird oder ein Schlüssel veraltet ist. EmailAuth liest die DKIM-Signature echter E-Mails, überwacht Ihre Selektoren und markiert schwache oder abgelaufene Schlüssel, bevor Empfänger Ihre Nachrichten ablehnen. Ein kostenloser Domain-Scan meldet Ihre aktiven Selektoren, die Schlüsselstärke und ob DKIM für DMARC geeignet ist, sodass Sie bestätigen können, dass jeder Signaturpfad fehlerfrei ist.
Häufig gestellte Fragen
Was bedeutet der b-Tag in einer DKIM-Signature ?
Das b-Tag enthält die eigentliche kryptografische Signatur, die mithilfe Ihres privaten Schlüssels über die signierten Header und den Body-Hash berechnet wird. Der Empfänger verifiziert es mit dem öffentlichen Schlüssel von DNS . Wenn der b-Wert nicht ausgecheckt wird, schlägt DKIM fehl und die Nachricht wird als nicht signiert oder verdächtig behandelt.
Was ist der Unterschied zwischen den bh- und b-Tags?
Das bh-Tag ist ein Hash nur des Nachrichtentexts, sodass es bei jeder Änderung am Inhalt beschädigt wird. Das b-Tag ist die Signatur über den ausgewählten Headern plus diesem Body-Hash. Ein Empfänger prüft zuerst bh, dann verifiziert b, und beide müssen bestehen, damit DKIM erfolgreich ist.
Welche Header signiert DKIM ?
Das h-Tag listet die signierten Header auf, üblicherweise „Von“, „Betreff“, „Datum“ und „An“, wobei der genaue Satz vom Unterzeichner ausgewählt wird. Von ist am wichtigsten, da es sich um die Adresse handelt, die die Empfänger sehen. Jede Änderung an einem signierten Header nach dem Senden führt dazu, dass die Überprüfung unterbrochen wird.
Warum funktioniert DKIM nach der Weiterleitung manchmal immer noch?
Die DKIM-Signature wandert innerhalb der Nachricht, sodass eine weitergeleitete E-Mail ihre Signatur behält, auch wenn sich die Absender-IP ändert. Solange der signierte Text und die Header intakt bleiben, besteht die Überprüfung weiterhin. Aus diesem Grund überlebt DKIM die Weiterleitung besser als SPF , das bei einem Wechsel des sendenden Servers abbricht.
Warum scheitert DKIM ?
Häufige Ursachen sind ein fehlender oder falsch eingegebener öffentlicher Schlüssel, eine Nichtübereinstimmung des Selektors oder eine Mailingliste oder ein Sicherheitsgateway, die die Nachricht nach dem Signieren ändert.
[ DKIM Führung ]
Unternehmensherkunft
Warum Top-Finanzinstitute und Regierungen haben ihre E-Mail-Sicherheits-Dashboards eingestellt.
Herkömmliche E-Mail-Authentifizierungsplattformen verkaufen Ihnen ein Dashboard und bitten Ihre Techniker, die Arbeit zu erledigen. In Umgebungen mit hohem Risiko führt die manuelle Überwachung zu verzögerter Durchsetzung, Konfigurationsabweichungen und nicht überwachten Schattendomänen.
EmailAuth ist die Agenten-E-Mail-Herkunftsplattform. Unsere Agenten setzen durch p=reject, halten Sie die Absender von Drittanbietern auf dem Laufenden und verschieben Sie Ihre Domains auf voll RFC 9989 Compliance, der neue DMARC Standard, mit Human-in-the-Loop-Überprüfbarkeit.
SaaS · Dedizierte Mandantenfähigkeit · Air-Gap-On-Prem · BYOK-Verschlüsselung