DKIM
Wie DKIM E-Mails digital signiert, was der Empfänger damit prüft und warum die Signatur SPF ergänzt statt ersetzt.
DKIM steht für DomainKeys Identified Mail. Der versendende Server signiert jede Nachricht mit einem privaten Schlüssel, der passende öffentliche Schlüssel steht als TXT-Eintrag im DNS. Der Empfänger holt sich diesen Schlüssel und prüft damit die Signatur.
Was die Signatur beweist
Zwei Dinge: dass die Mail wirklich über die angegebene Domain verschickt wurde, und dass Kopfzeilen und Inhalt unterwegs nicht verändert wurden. SPF prüft dagegen nur, von welcher Server-Adresse die Nachricht kam.
Warum DKIM und SPF zusammengehören
SPF hat eine Lücke: Bei Weiterleitungen ändert sich die versendende Adresse, die Prüfung schlägt fehl, obwohl die Mail echt ist. Die DKIM-Signatur reist mit der Nachricht mit und übersteht solche Zwischenstationen. Deshalb ergänzen sich beide Verfahren.
DKIM einrichten
Der Versanddienst erzeugt das Schlüsselpaar und gibt dir einen Eintrag mit einem sogenannten Selektor, etwa standard._domainkey.deinefirma.de. Den trägst du im DNS ein. Verschickst du über mehrere Dienste, bekommt jeder seinen eigenen Selektor, sie stören sich nicht.
Ein häufiger Stolperstein: Der Schlüssel ist lang und wird beim Kopieren gern abgeschnitten oder mit Zeilenumbrüchen versehen. Prüfe nach dem Eintragen mit einem DKIM-Prüfwerkzeug, ob die Signatur wirklich validiert.
Die Einrichtung Schritt für Schritt, samt SMTP-Versand und Test, steht im Ratgeber zum E-Mail-Versand aus WordPress.