Langer DKIM-Schlüssel im DNS: TXT-Einträge in mehrere Zeichenketten aufgeteilt

Was das bedeutet

Ein DKIM-Eintrag enthält einen öffentlichen Schlüssel, einen langen Block aus Buchstaben und Zahlen. Ein 2048-Bit-Schlüssel, die heute empfohlene Größe, ist etwa 400 Zeichen lang.

Im DNS gilt eine Regel: Eine einzelne Zeichenkette in einem TXT-Eintrag darf höchstens 255 Zeichen enthalten. Ein längerer Wert muss als mehrere Zeichenketten hintereinander im selben Eintrag gespeichert werden. Empfänger setzen sie wieder zusammen, ohne etwas dazwischen einzufügen.

google._domainkey  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh...first part" "...second part...IDAQAB"

Warum das wichtig ist

Ist der Schlüssel abgeschnitten, enthält ein zusätzliches Leerzeichen oder ist auf zwei getrennte Einträge verteilt, bekommt der Empfänger einen falschen Schlüssel. Dann scheitert jede DKIM-Signatur, und DMARC kann mit ihr scheitern. Die E-Mail sieht für dich gut aus, schneidet aber überall schlechter ab.

So prüfst du es

• Sende eine Test-E-Mail über die Delivmail-Startseite. Der Bericht zeigt bei DKIM „fail“ oder einen Schlüsselfehler, obwohl dein Anbieter sagt, dass DKIM aktiv ist.
• Nutze den Domain-Scanner unter /domain-scanner, um dir deine DNS-Einträge anzusehen.
• Sieh dir den rohen Eintrag an:

  dig TXT google._domainkey.yourdomain.com

  Ersetze google durch deinen Selektor. Du solltest einen Eintrag sehen, eventuell mit mehreren Teilen in Anführungszeichen.

So behebst du es

1. Kopiere den Schlüssel erneut von der Admin-Seite deines Anbieters (zum Beispiel aus der Google Admin-Konsole für Google Workspace). Kopiere den ganzen Wert, von v=DKIM1 bis zum Ende.
2. Versuch, ihn als einen Wert einzufügen. Viele DNS-Anbieter (Cloudflare, OVH und andere) akzeptieren einen langen Wert und teilen ihn für dich auf.
3. Lehnt die Oberfläche ihn ab, teile ihn selbst in Teile mit weniger als 255 Zeichen auf, jeden in doppelten Anführungszeichen, getrennt durch ein Leerzeichen:

   "v=DKIM1; k=rsa; p=MIIBIjANBg...(about 200 characters)" "...rest of the key"

   Das Leerzeichen zwischen den Teilen in Anführungszeichen wird ignoriert. Leerzeichen innerhalb der Anführungszeichen nicht.
4. Behalte alles in einem Eintrag. Zwei getrennte TXT-Einträge mit je einem halben Schlüssel funktionieren nicht.
5. Speichere und warte ein paar Minuten, dann teste erneut.

Häufige Fehler

• Ein Zeilenumbruch oder Leerzeichen, der mitten in den Schlüssel kopiert wurde.
• Der Schlüssel wurde von der DNS-Oberfläche bei 255 Zeichen abgeschnitten, und das Ende ist verloren.
• Anführungszeichen in Anführungszeichen, wie ""v=DKIM1..."".
• Der Teil p= fehlt oder ist leer: Ein leerer Schlüssel bedeutet „dieser Schlüssel ist widerrufen“.

Letzter Ausweg

Wenn dein DNS-Anbieter überhaupt keine langen Einträge speichern kann, zieh in Betracht, dein DNS zu einem besseren Anbieter umzuziehen. Manche E-Mail-Dienste lassen dich auch einen 1024-Bit-Schlüssel wählen, der in eine Zeichenkette passt, aber er ist schwächer und sollte nur vorübergehend sein.

Prüfe, ob es behoben ist

Der Befehl dig sollte einen Eintrag zeigen, dessen zusammengesetzter Wert genau dem Schlüssel deines Anbieters entspricht. Sende dann eine neue Test-E-Mail über die Startseite: DKIM sollte für deine Domain bestehen.