DKIM

DKIM (DomainKeys Identified Mail) ist ein E-Mail-Authentifizierungs-Standard, definiert in RFC 6376. Das sendende Mailsystem signiert jede ausgehende Nachricht mit einem privaten kryptographischen Schlüssel; ein Header namens DKIM-Signature trägt die Signatur, den Algorithmus und einen Verweis auf den öffentlichen Schlüssel. Der empfangende Server holt den öffentlichen Schlüssel aus dem DNS und verifiziert, dass die Signatur zum Nachrichtenkörper und den gelisteten Headern passt — was sowohl belegt, dass die Nachricht von einem Server stammt, der den privaten Schlüssel hält, als auch, dass die signierten Teile der Nachricht unterwegs nicht verändert wurden.

Der öffentliche Schlüssel liegt unter {selector}._domainkey.{domain} als TXT-Record. Selectors sind frei wählbare Bezeichner — typischerweise s1, s2, mail oder vendor-spezifische Namen wie amazonses. Selectors ermöglichen Schlüsselrotation: einen neuen Schlüssel unter einem frischen Selector veröffentlichen, den Signer auf den neuen Selector umschalten, den alten Schlüssel im DNS belassen, bis bereits signierte Nachrichten in Transit abgearbeitet sind, anschließend den alten TXT-Record löschen. Rotation ist Grundhygiene — die meisten ESPs rotieren mindestens jährlich sowie bei jedem Verdacht auf Kompromittierung.

Beim vendor-gestützten Versand (Amazon SES, Mailgun, SendGrid, SparkPost — alle eingebauten Treiber unter app/SendingServers/Drivers/Vendors/) wird DKIM vom Vendor signiert. Der Betreiber muss lediglich die vom Vendor bereitgestellten CNAME- oder TXT-Einträge auf seiner Sendedomain veröffentlichen. Beim generischen SMTP-Treiber übernimmt die DKIM-Signatur die vorgelagerte MTA (der opendkim-Milter von Postfix, der eingebaute Signer von Postal usw.) — AcelleMail signiert DKIM nicht selbst.

Der komplette Setup-Walkthrough — wie die Records bei den großen Vendor aussehen und wie sich die Signatur verifizieren lässt — steht im Zustellbarkeits-Pillar-Guide.

SPF authentifiziert die IP-Adresse; DKIM authentifiziert die Nachricht selbst. Eine weitergeleitete E-Mail, die SPF bricht (weil sie nun aus den IPs des Weiterleiters kommt), besteht DKIM in der Regel trotzdem (die Signatur deckt den Body ab, nicht den Pfad). DMARC richtet dann eines oder beide Signale gegen den sichtbaren From:-Header aus. Alle drei Schichten greifen ineinander — moderne Zustellbarkeit setzt voraus, dass Sie alle drei publizieren.