Kostenlos · ohne Anmeldung
DKIM-Record und öffentlichen Schlüssel prüfen
Prüfen Sie den öffentlichen DKIM-Schlüssel Ihrer Domain für einen bekannten Selektor. Domain und Selektor können Sie auch lokal aus einem DKIM-Signature-Header übernehmen.
Prüfung starten
Ihr Ergebnis
Den richtigen DKIM-Selektor finden
DKIM-Schlüssel liegen unter selector._domainkey.domain. Der Selektor steht in einer signierten E-Mail im DKIM-Signature-Header hinter s=, die Signaturdomain hinter d=. Alternativ nennt Ihr Mailanbieter beide Angaben in der Einrichtung. Das Tool sucht keine üblichen Namen auf Verdacht: Eine Domain kann mehrere aktive Selektoren verschiedener Versanddienste besitzen.
Was der Schlüsseltest auswertet
Die DNS-Antwort wird auf einen eindeutigen Schlüssel-Record, Tag-Struktur und den öffentlichen Schlüssel geprüft. Für RSA wird der Schlüssel gelesen und seine Bitlänge angezeigt. RFC 8301 verlangt mindestens 1024 Bit und empfiehlt mindestens 2048 Bit. Für Ed25519 wird die vorgeschriebene Länge von 32 Bytes geprüft. Ein vorhandenes, aber leeres p-Tag bedeutet einen widerrufenen Schlüssel und wird entsprechend ausgewiesen.
Ein Schlüssel ist noch keine gültige Signatur
Der DNS-Record enthält ausschließlich den öffentlichen Teil. Ob Ihr Mailserver wirklich signiert, die Nachricht unterwegs verändert wurde oder die Signatur zur sichtbaren Absenderdomain passt, lässt sich daraus nicht ableiten. Untersuchen Sie dafür eine tatsächlich empfangene Nachricht und deren Authentication-Results. Dieses Tool lädt keine E-Mail hoch und verarbeitet keinen privaten Schlüssel.
Fehler bei Einrichtung und Rotation vermeiden
Prüfen Sie Domain und Selektor zuerst auf Tippfehler. Bei einer Rotation muss der neue DNS-Schlüssel verfügbar sein, bevor E-Mails mit dem neuen Selektor versendet werden. Alte Schlüssel können noch für bereits versendete Nachrichten benötigt werden. Befolgen Sie dabei die Vorgaben Ihres Mailanbieters. Fachliche Grundlagen sind RFC 6376, RFC 8301 und RFC 8463.
Beispiel zur Einordnung
Bei d=example.org und s=mail2026 wird mail2026._domainkey.example.org abgefragt. Der Name des sichtbaren Absenders und ein erratener Selektor reichen für diese Abfrage nicht aus.
Häufige Fragen
Wird der eingefügte Mailheader übertragen?
Nein. Das Auslesen von d= und s= erfolgt im Browser. An die Prüfung gehen nur Domain und Selektor.
Warum wird trotz eingerichtetem DKIM kein Schlüssel gefunden?
Möglicherweise passt der Selektor nicht, die DNS-Änderung ist noch nicht überall sichtbar oder der Anbieter verwendet eine andere Signaturdomain.
Kann ich damit eine DKIM-Signatur verifizieren?
Nein. Das Tool prüft den veröffentlichten Schlüssel, nicht die Signatur einer vollständigen Nachricht.
Seitenreport SEO Suite: Ihre Website als Ganzes prüfen
Prüfen Sie bis zu 20 URLs kostenlos. Für wiederkehrende Kontrollen und Veränderungen Ihrer Website lernen Sie die SEO Suite kennen.