Finden Sie die öffentlichen DKIM-Schlüssel, die eine Domain veröffentlicht, und prüfen Sie, ob sie stark genug sind. Geben Sie Ihren Selektor ein, wenn Sie ihn kennen – oder lassen Sie uns über 30 Selektoren testen, die Google Workspace, Microsoft 365, Mailchimp, SendGrid, Brevo und andere Plattformen verwenden.
DKIM-Bericht für
Jeder getestete Selektor liefert einen leeren, widerrufenen Schlüssel. Die Domain veröffentlicht sehr wahrscheinlich einen Wildcard-Eintrag, der DKIM für jeden Selektor widerruft – üblich bei Domains, die überhaupt keine E-Mails versenden.
| Selektor | DNS-Name | Schlüsseltyp | Schlüssellänge | Status |
|---|
Ein widerrufener Schlüssel hat ein leeres p=-Tag: Der Selektor wurde bewusst abgeschaltet, und damit erstellte Signaturen schlagen fehl. Nach einem Schlüsselwechsel ist das normal.
Perfekte Einträge verhindern keine Bounces. Mails an ungültige, Wegwerf- oder verwaiste Adressen schaden Ihrer Absenderreputation und können Ihre IP auf Blacklists bringen. Validieren Sie Ihre Liste vor der nächsten Kampagne.
→ Eine einzelne Adresse mit dem kostenlosen E-Mail-Validator prüfen
DKIM (DomainKeys Identified Mail, RFC 6376) ermöglicht es einer Domain, die von ihr versendeten E-Mails zu signieren. Ihre Versandplattform fügt einen mit einem privaten Schlüssel erstellten DKIM-Signature-Header hinzu; der passende öffentliche Schlüssel wird im DNS veröffentlicht, als TXT-Eintrag unter selector._domainkey.ihredomain.
Der empfangende Server ruft diesen öffentlichen Schlüssel ab und prüft die Signatur. Eine gültige Signatur belegt, dass die Nachricht unterwegs nicht verändert wurde und dass die signierende Domain dafür einsteht. Gmail, Yahoo und Outlook verlangen DKIM von Massenversendern, und DMARC baut darauf auf.
Der Selektor ist die Bezeichnung, die dem Empfänger sagt, welchen Schlüssel er abrufen soll. Deshalb kann eine Domain mehrere Schlüssel gleichzeitig haben – einen pro Versandplattform oder einen alten und einen neuen während eines Schlüsselwechsels.
DNS bietet keine Möglichkeit, alle Selektoren einer Domain aufzulisten, daher kann kein Tool alle Schlüssel von sich aus finden. Zuverlässig ist nur: eine gesendete Nachricht öffnen, die Original-Header anzeigen und die Zeile DKIM-Signature suchen – s= ist der Selektor, d= die signierende Domain.
DKIM-Signature: v=1; a=rsa-sha256; d=ihrefirma.de; s=google; …Die folgenden Selektoren sind die Standardwerte verbreiteter Plattformen. Manche Anbieter erzeugen einen Selektor pro Konto – maßgeblich ist daher Ihre Admin-Konsole.
| Anbieter | Selektor(en) |
|---|---|
| Google Workspace | |
| Microsoft 365 | selector1, selector2 |
| Mailchimp | k1 (ältere Einrichtungen), k2, k3 |
| Mailchimp Transactional (Mandrill) | mandrill |
| SendGrid | s1, s2 |
| Brevo | brevo1, brevo2 |
| HubSpot | hs1, hs2 (manche Konten hängen ein numerisches Suffix an) |
| Proton Mail | protonmail, protonmail2, protonmail3 |
| Fastmail | fm1, fm2, fm3 |
| Amazon SES | Drei zufällige Tokens pro Domain (Easy DKIM) – kopieren Sie sie aus der SES-Konsole |
| Zoho Mail | Sie legen ihn beim Erstellen des Schlüssels in der Zoho-Mail-Admin-Konsole fest |
RFC 8301 verlangt Schlüssel mit mindestens 1024 Bit und empfiehlt 2048. Schlüssel unter 1024 Bit werden von großen Anbietern ignoriert; 1024-Bit-Schlüssel funktionieren noch, gelten aber als schwach. Begrenzt Ihr DNS-Anbieter die TXT-Länge, teilen Sie den Schlüssel im selben Eintrag in mehrere Zeichenketten in Anführungszeichen auf.
RFC 8463 ergänzt kurze, moderne Ed25519-Schlüssel, doch viele Empfänger prüfen sie noch nicht. Wenn Sie einen nutzen, signieren Sie zusätzlich mit einem RSA-Schlüssel.
Um einen Selektor stillzulegen, veröffentlichen Sie seinen Eintrag mit leerem öffentlichem Schlüssel (p=). Empfänger werten damit erstellte Signaturen dann als ungültig, und jeder kann sehen, dass der Schlüssel absichtlich außer Dienst gestellt wurde.
Veröffentlichen Sie einen neuen Selektor, stellen Sie Ihre Plattform auf die Signatur damit um, warten Sie einige Tage auf Nachrichten, die noch unterwegs sind, und widerrufen Sie dann den alten. Viele Teams wechseln alle 6 bis 12 Monate.
Ja. Sie können ohne Konto 30 Prüfungen pro Tag durchführen (gemeinsam mit dem SPF-, DKIM- & DMARC-Checker). Das Tool liest nur öffentliche DNS-Einträge.
Weil sich DKIM-Schlüssel nur finden lassen, wenn man den Selektor kennt – und Ihre Plattform nutzt vielleicht einen, den wir nicht testen. Öffnen Sie eine gesendete Nachricht, suchen Sie den s=-Wert im DKIM-Signature-Header und geben Sie ihn ein. Stellen Sie außerdem sicher, dass Ihre Plattform mit Ihrer eigenen Domain (d=ihredomain) signiert und nicht mit ihrer eigenen.
Im DKIM-Signature-Header jeder von Ihnen gesendeten Nachricht: s= ist der Selektor, d= die Domain. Gmail zeigt ihn unter „Original anzeigen“, Outlook unter „View message source“ (Nachrichtenquelle anzeigen). Auch die DNS-Einrichtungsseite Ihrer Versandplattform nennt ihn.
2048 Bit. 1024-Bit-Schlüssel werden noch akzeptiert, gelten aber als schwach, und Schlüssel unter 1024 Bit werden von Gmail und anderen großen Anbietern ignoriert.
Der Eintrag existiert, aber sein p=-Tag ist leer – damit wird der Selektor bewusst deaktiviert. Für einen alten Schlüssel nach einem Wechsel ist das normal. Signiert Ihre Plattform noch mit diesem Selektor, schlagen die Signaturen fehl.
Ja – einen pro Selektor. Üblich ist einer pro Versandplattform (zum Beispiel Google Workspace für die Mitarbeiter-Mails und ein E-Mail-Marketing-Tool für Kampagnen), jeweils unter einem eigenen Selektor.
Nein. Gmail, Yahoo und Outlook erwarten außerdem SPF und eine DMARC-Richtlinie, ausgerichtet an der Domain Ihrer From-Adresse – und eine saubere Liste, denn Bounces und Beschwerden schaden Ihrer Reputation, egal was Ihr DNS sagt.
Meist Minuten, aber Resolver können eine frühere Antwort bis zu deren TTL zwischenspeichern. Unsere Ergebnisse werden 10 Minuten zwischengespeichert – warten Sie also etwas, bevor Sie erneut prüfen.
Ein kostenloses Konto enthält 200 Credits (10 für Adressen von Freemail-Anbietern), um Listen per Upload, über die REST-API oder in Echtzeit in Ihren Formularen zu validieren.
Kostenloses Konto – 200 CreditsKeine Kreditkarte. Credits verfallen nie.