DKIM-Prüfer

Eine DKIM-Signatur beweist, dass eine Nachricht von jemandem gesendet wurde, der Ihren Schlüssel besitzt, und dass sie unterwegs nicht verändert wurde. Die Signatur ist nur dann etwas wert, wenn der öffentliche Schlüssel, der sie überprüft, dort veröffentlicht wird, wo Empfänger nachsehen. Geben Sie Ihre Domain und Ihren Selektor ein und sehen Sie, ob dieser Eintrag vorhanden ist und was er sagt.

Was ein DKIM-Eintrag ist, in einem Absatz

Wenn Ihr E-Mail-System eine Nachricht sendet, signiert es diese mit einem privaten Schlüssel und fügt einen DKIM-Signature-Header hinzu, der die Domäne und einen Selektor benennt. Der empfangende Server nimmt diese beiden Namen und sucht nach dem TXTEintrag bei selector._domainkey.yourdomain und nutzt den dort gefundenen öffentlichen Schlüssel zur Überprüfung der Signatur. Dieser Prüfer überprüft den veröffentlichten DNS-Schlüssel und seine Tags. Es überprüft weder die Signatur einer bestimmten E-Mail noch beweist es, dass jeder E-Mail-Stream diesen Selektor verwendet.

Fünf Gründe, Ihren eigenen DKIM-Eintrag zu überprüfen

Finden Sie heraus, ob der Schlüssel wirklich veröffentlicht ist

E-Mail-Anbieter bitten Sie, einen DKIM-Eintrag hinzuzufügen, und es ist einfach, ihn hinzuzufügenFalscher Ort: unter dem falschen Namen, in der falschen Domäne oder in einer DNS-Zone, die die Domäne nicht mehr verwendet. Auf der Setup-Seite steht „Fertig“ und die Signaturen schlagen immer noch fehl, da der vom Empfänger angeforderte Datensatz nicht vorhanden ist.

Der Selektor ist der einzige Name, den Sie nicht erraten können

Eine Domain kann viele DKIM-Schlüssel gleichzeitig haben – einen pro Anbieter, einen pro Mail-Stream, einen pro Jahr. Der Selektor teilt einem Empfänger mit, welche E-Mail abgerufen werden soll, und wird von demjenigen festgelegt, der Ihre E-Mail konfiguriert hat. Es befindet sich im DKIM-Signature-Header jeder von Ihnen gesendeten Nachricht als s=. Wenn Sie den falschen Selektor überprüfen, wird nichts gefunden, weshalb auf dieser Seite danach gefragt wird.

Ein widerrufener oder leerer Schlüssel sieht aus wie ein fehlender Schlüssel

Ein Datensatz mit einem leeren p=-Wert ist ein Schlüssel, derwurde absichtlich widerrufen. Das ist richtig, wenn Sie einen Anbieter eingestellt haben, und ein Fehler, wenn es sich um den Datensatz handelt, mit dem Ihr aktueller Anbieter unterschreibt. Der Unterschied zwischen den beiden besteht darin, dass die Aufzeichnung genau so erscheint, wie sie veröffentlicht wurde.

Alte Schlüssel überleben die Anbieter, die sie verwendet haben

Jedes Mail-Tool, das Sie ausprobiert haben, hinterließ einen Selektor. Einige sind immer noch veröffentlicht, immer noch gültig und werden von niemandem mehr verwendet, der mit Ihnen zusammenarbeitet. Ein Schlüssel, den niemand dreht, ist ein Schlüssel, dessen PrivatheitDie Hälfte hatte Jahre Zeit, um durchsickern zu lassen, und an einem weiteren Ort stimmen Ihre Aufzeichnungen stillschweigend nicht mit Ihrer E-Mail-Einrichtung überein.

DKIM ist die Hälfte von DMARC, die die Weiterleitung überlebt

SPF wird unterbrochen, sobald eine Nachricht weitergeleitet wird. Bei DKIM ist dies normalerweise nicht der Fall, da die Signatur mit der Nachricht übertragen wird. Deshalb braucht eine DMARC-Richtlinie, die auf Durchsetzung besteht, einen DKIM-Eintrag, der wirklich funktioniert.

Erkennen Sie den Tag, an dem sich Ihr Datensatz ändert

DKIM-Schlüsselwerden von demjenigen, der die Mail-Plattform verwaltet, rotiert, ersetzt und gelöscht, und die Änderung erreicht das DNS einige Minuten später.

Geplante Scans machen daraus einen Unterschied, von dem Sie erfahren: Dieser Selektor ist verschwunden, dieser Datensatz hat sich geändert, diese Note ist gesunken. Benachrichtigungen kommen in der App, per E-Mail oder über Slack, Teams, Jira oder einen Webhook.

Schritt 01 · Benennen Sie die Domain

Eine von Ihnen kontrollierte Domain, die Ihrem AYAsec-Konto hinzugefügt wurde. Der Besitz wird überprüft, bevor etwas versendet wird – AYAsec plant keine Scans für die Infrastruktur, über die Sie nicht nachgewiesen haben, dass Sie die Kontrolle darüber haben, und beweist, dass dafür ein DNS-Eintrag benötigt wird. Bei der obigen Schnellprüfung wird dies übersprungen: kein Konto, keine Verifizierung, nur IP-Ratenbegrenzung und die Regel, dass das Ziel eine öffentliche Adresse sein muss.

Schritt 02 · Letder Prüflauf

DKIM-Datensätze sind öffentlich, daher handelt es sich hierbei um Lesevorgänge und nicht um Prüfvorgänge. Der Datensatz wird so angezeigt, wie es ein empfangender Mailserver tun würde.

Schritt 03 · Lesen Sie das Ergebnis

Die Ergebnisse werden nach Schweregrad sortiert und mit den Werten A+ bis F bewertet, neben den anderen DNS-Einträgen, die zum gleichen E-Mail-Setup gehören.

Wozu das gehört

DKIM ist neben SPF einer von mehreren E-Mail-bezogenen Datensätzen, die AYAsec im Rahmen seines DNS-Scans prüft.DMARC, MTA-STS, TLS-RPT und DNSSEC. Es handelt sich um einen Scan, und diese Seite handelt von einem Teil dessen, was sie betrachtet.

DNS trägt 20 % der Gesamtnote. Die anderen sind HTTP mit 30 %, TLS und Ports mit jeweils 20 % und die Domain-Glaubwürdigkeit mit 10 %. Sie alle zusammen bilden die AngriffsflächeManagement](/attack-surface-management/) bedeutet in der Praxis.

Fragen, bevor Sie nachsehen

Was kann ich überprüfen?

Infrastruktur, die Sie besitzen oder mit deren Testen Sie beauftragt wurden. Der obige Schnellcheck bestätigt das nicht für Sie – er schränkt die Rate nur nach IP ein und weigert sich, auf irgendetwas anderes als eine öffentliche Adresse abzuzielen. Fügen Sie stattdessen die Domain zu einem AYAsec-Konto hinzu, und die Kontrolle wird überprüft, bevor irgendetwas geplantes ausgeführt wird: eine rechtliche und praktische Grenze, da ein ungeprüfter Scan auch für Sie als Beweismittel nicht von Nutzen ist.

Wie finde ich meinen Selektor?

Senden Sie eine Nachricht von derSystem, das Sie überprüfen möchten, in ein von Ihnen kontrolliertes Postfach, öffnen Sie die vollständigen Header und suchen Sie die Zeile DKIM-Signature. Der Wert nach s= ist der Selektor und der Wert nach d= ist die Domäne, für die er signiert. Viele Anbieter verwenden feste Namen wie google oder selector1.

Der Datensatz, den ich sehe, ist ein CNAME. Ist das falsch?

Nein. Mehrere Anbieter veröffentlichen den Schlüssel auf ihren eigenen Nameservern und bitten Sie, Ihren Selektor mit einem CNAME darauf zu verweisen. Der Schlüssel ist dannDieser Name wurde durchgelesen und vom Anbieter gedreht.

Bedeutet ein bestandener Selektor, dass meine E-Mail signiert ist?

Das bedeutet, dass ein Schlüssel veröffentlicht wird. Ob jeder Mail-Stream, den Sie versenden, tatsächlich damit signiert, ist eine Frage des sendenden Systems; Die Möglichkeit zur Überprüfung besteht darin, die Kopfzeilen einer echten Nachricht zu lesen.

Ist DKIM allein ausreichend?

Nein. DKIM sagt, wer eine Nachricht signiert hat; Es wird nicht gesagt, was zu tun ist, wenn keine gültige Signatur vorhanden ist. Das ist die Aufgabe vonDMARC, das DKIM und SPF mit der sichtbaren Absenderadresse verknüpft.

Behalten Sie die Ergebnisse?

Nicht die kurze Überprüfung oben – sie verbleibt etwa fünfzehn Minuten lang im Speicher, sodass Sie sie einmal lesen können, dann ist sie verschwunden. Das ist eine bewusste Datenschutzentscheidung und keine Einschränkung: Niemand außer Ihnen sieht jemals diesen Scan, und Sie können das vollständige Ergebnis herunterladen, bevor es abläuft. Fügen Sie die Domäne stattdessen einem AYAsec-Konto hinzu, und jeder Scan wird gespeichert – eine Reihe, die Ihnen sagt, welche Bearbeitung ihn beschädigt hat. Die Aufbewahrung hängt von Ihrem Plan ab.

Behalten Sie die Geschichte, nicht nur dieErgebnis

Führen Sie die vollständige DNS-Prüfung für Ihre eigenen Domänen nach einem Zeitplan durch, wobei jede Änderung für denjenigen gekennzeichnet wird, der sie sehen muss.

Kostenlos scannen Pläne vergleichen

Die anderen Dame

View all free security scanners

SPF-Checker – Welche Server dürfen als Ihre Domain senden?

DMARC-Prüfer – Was passiert mit E-Mails, die die Prüfung nicht bestehen?

DNS-Sicherheitsprüfer

DNSSEC,Nameserver und die Datensätze selbst

Strukturierte Daten zum Einbetten

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DKIM Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dkim-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Fügen Sie kein FAQPage- oder HowTo-Markup hinzu – Google hat beide Ergebnistypen zurückgezogen.