DKIM Generator und Checker
Erzeug ein DKIM-Schlüsselpaar in deinem Browser und erhalte den DNS-Eintrag zum Veröffentlichen. Danach prüfst du jeden Selektor jeder Domain. Kostenlos, ohne Anmeldung, der private Schlüssel verlässt diese Seite nie.
Der Generator braucht JavaScript.
DKIM-Eintrag prüfen
Selektor und Domain stehen in jeder signierten Mail: DKIM-Signature: … s=selektor; d=domain.
Probier es aus: salesforce.com · 200608, microsoft.com · selector2
Was ist ein DKIM-Eintrag?
DKIM signiert jede Mail mit einem privaten Schlüssel auf dem sendenden Server. Der passende öffentliche Schlüssel liegt als TXT-Eintrag unter selektor._domainkey.deinedomain im DNS, damit Empfänger prüfen können, dass die Mail unverändert ist und wirklich von deiner Domain kommt.
Der Selektor erlaubt einer Domain mehrere Schlüssel: einen je Versandtool und einen neuen bei jedem Wechsel.
Im Eintrag
- v=DKIM1: die Version; optional, aber vorn, wenn vorhanden
- k=rsa oder k=ed25519: der Schlüsseltyp
- p=: der öffentliche Schlüssel; leer heißt widerrufen
- t=y: Testmodus, raus, sobald es läuft
- Der private Schlüssel: nie im DNS
RSA 2048, 1024 oder Ed25519?
Nimm RSA 2048, außer dein DNS-Panel kann keinen langen Eintrag speichern.
| Schlüssel | Stärke | Länge im DNS | Geprüft von |
|---|---|---|---|
| RSA 2048 | Von Google empfohlen; die Standardwahl | Rund 400 Zeichen: braucht zwei 255-Zeichen-Strings | Jeder Empfänger |
| RSA 1024 | Das Minimum, das Empfänger akzeptieren müssen | Passt in einen String | Jeder Empfänger |
| Ed25519 | Kurz und stark | 44 Zeichen | Noch nicht jeder Empfänger: zusätzlich mit RSA signieren |
DKIM auf dem eigenen Server einrichten
Für Server, die du selbst betreibst, etwa Postfix mit OpenDKIM.
- 1
Paar erzeugen
Wähl oben Domain, Selektor und Schlüsseltyp. Die Schlüssel entstehen in deinem Browser.
- 2
Öffentlichen Schlüssel veröffentlichen
Leg den TXT-Eintrag an. Begrenzt dein DNS-Panel einen Wert auf 255 Zeichen, nimm die aufgeteilte Version.
- 3
Privaten Schlüssel installieren
Speicher die PEM-Datei auf dem Mailserver, nur für den signierenden Dienst lesbar, und trag den Selektor in dessen Konfiguration ein.
- 4
Prüfen und Test senden
Nutz den Checker und schick dann eine Mail an Gmail: Unter „Original anzeigen“ muss DKIM: PASS stehen.
Auf einer Plattform nimmst du ihren Schlüssel
Ein erzeugter Schlüssel hilft nur, wo du den signierenden Server selbst steuerst. E-Mail-Plattformen signieren mit eigenen Schlüsseln.
- Account Engagement (Pardot). Pardot zeigt den DomainKey in der Domainverwaltung; der Selektor ist 200608.
- Marketing Cloud Next. Salesforce gibt dir drei DKIM-CNAMEs (s1-e360-…) und verwaltet die Schlüssel dahinter.
- Google Workspace und Microsoft 365. Erzeug den Schlüssel in der Admin-Konsole (Google, Selektor „google“) oder veröffentlich die zwei CNAMEs, die Microsoft zeigt (selector1, selector2).
Mehr kostenlose Tools
Häufige Fragen zum DKIM-Generator
Kurze Antworten auf das, was Leute zu DKIM-Schlüsseln und -Einträgen fragen.
Wie erstelle ich einen DKIM-Eintrag?
Erzeug ein Schlüsselpaar, veröffentlich den öffentlichen Schlüssel als TXT-Eintrag unter selektor._domainkey.deinedomain mit dem Wert v=DKIM1; k=rsa; p=… und installier den privaten Schlüssel auf dem Server, der deine Mails signiert.
Ist es sicher, einen DKIM-Schlüssel online zu erzeugen?
Hier erzeugt die Kryptografie deines Browsers (WebCrypto) den Schlüssel, und er wird nirgends hin gesendet. Für die strengsten Umgebungen erzeug ihn auf dem Mailserver selbst, zum Beispiel mit opendkim-genkey.
Was ist ein DKIM-Selektor?
Ein Name deiner Wahl, der Empfängern sagt, welchen Schlüssel sie holen sollen. Er steht als s= im DKIM-Signature-Header und vor ._domainkey im DNS.
1024 oder 2048 Bit?
2048. Empfänger müssen 1024 Bit akzeptieren (RFC 8301), Google empfiehlt 2048. Nimm 1024 nur, wenn dein DNS-Anbieter den längeren Eintrag nicht speichern kann.
Wie finde ich den DKIM-Selektor einer Domain?
Öffne eine Mail von der Domain, lass dir die Header anzeigen und such DKIM-Signature: Der s=-Wert ist der Selektor, d= die Domain. Eine Liste der Selektoren einer Domain gibt es im DNS nicht.
Wie oft sollte ich DKIM-Schlüssel wechseln?
Wechsel in einem Rhythmus, den du durchhältst, und sofort, wenn ein privater Schlüssel abhandengekommen sein könnte. Veröffentlich den neuen Schlüssel unter einem neuen Selektor, stell die Signatur um und entfern den alten, wenn unterwegs befindliche Mails angekommen sind.
Wird etwas gespeichert, das ich eingebe?
Nein. Schlüssel entstehen in deinem Browser und werden nie gesendet. Für den Checker schickt dein Browser den DNS-Namen an unseren Server, der einen öffentlichen Resolver fragt; nichts wird gespeichert oder protokolliert.
Wir sorgen dafür, dass dein Salesforce-Marketing für dich arbeitet
Du sprichst mit einem zertifizierten Berater, nicht mit dem Vertrieb, und weißt nach dem ersten Gespräch, was als Nächstes kommt.