DKIM-Prüfung
Öffentlichen DKIM-Schlüssel abfragen, Syntax prüfen und Schlüssellänge ausweisen.
Dein Mailserver signiert ausgehende Mails und schreibt den Selektor in den Header DKIM-Signature (s=…). Empfänger holen den passenden öffentlichen Schlüssel als TXT-Record von <selector>._domainkey.<domain> und prüfen damit die Signatur.
Den richtigen Selektor findest du im Quelltext einer echten Mail von dieser Domain — such nach „DKIM-Signature“ und dem Wert hinter s=. Domains haben oft mehrere Selektoren, einen je Versanddienst.
Empfehlung: RSA mit 2048 Bit, sha256, kein t=y im Produktivbetrieb. Beim Wechsel den alten Schlüssel lange genug parallel stehen lassen — solange noch Mail unterwegs ist, die damit signiert wurde. Danach kann er weg. Ob du ihn löschst oder mit leerem p= widerrufst, macht für die Prüfung keinen Unterschied: Beides ergibt einen Fehlschlag. Das leere p= ist die ausdrückliche Variante, nötig ist sie nicht.
Selbst nachprüfen
Dieselbe Prüfung kannst du im Terminal machen — unter Linux und macOS mit diesen Befehlen:
dig +short TXT selector1._domainkey.example.comfor s in google selector1 selector2 k1 default mail; do echo "-- $s"; dig +short TXT $s._domainkey.example.com; doneDie Befehle sind bereits mit deiner Eingabe gefüllt. Weicht ein Ergebnis von dem hier ab: Deine Befehle fragen den Resolver deines Rechners, diese Seite fragt vom Server aus. Unterschiedliche Ergebnisse sind normal: Jeder Resolver hat einen eigenen Zwischenspeicher, und frische Änderungen brauchen bis zum Ablauf der TTL.