E-Mail/DKIM - Versionsgeschichte

Bernd: /* Externe DNS-Server */

2025-08-28T13:49:40Z

Externe DNS-Server

← Nächstältere Version		Version vom 28. August 2025, 15:49 Uhr
Zeile 38:		Zeile 38:
	Unser Standard-Record sieht so aus:		Unser Standard-Record sieht so aus:
	<pre>v=DMARC1; p=none; fo=1; rua=mailto:dmarcrua@schokokeks.net</pre>		<pre>v=DMARC1; p=none; fo=1; rua=mailto:dmarcrua@schokokeks.net</pre>
	und muss unter der Subdomain '''_dmarc''' als TXT-Record veröffentlicht werden.		und muss unter der Subdomain '''_dmarc''' als TXT-Record veröffentlicht werden. Die E-Mail-Adresse ''dmarcrua@schokokeks.org'' können Sie gerne auch in Ihrem Record so übernehmen, wir sammeln dort eventuelle Fehlerberichte und werden diese gesammelt aus.

Bernd am 28. August 2025 um 13:48 Uhr

2025-08-28T13:48:04Z

← Nächstältere Version		Version vom 28. August 2025, 15:48 Uhr
Zeile 15:		Zeile 15:
	== Externe DNS-Server ==		== Externe DNS-Server ==

	Wenn Sie einen externen DNS-Server nutzen und gleichzeitig DKIM aktivieren möchten, sind einige Dinge zu beachten, daher aktivieren wir hier DKIM nicht automatisch. Sie müssen dann einen passenden DNS-Record anlegen, in dem die öffentlichen Schlüssel abgelegt sind. Wir nutzen zurzeit den Selektor key1, der entsprechende DNS-Eintrag, der unter der Subdomain 'key1._domainkey' angelegt werden muss, lautet:		Wenn Sie einen externen DNS-Server nutzen und gleichzeitig DKIM aktivieren möchten, sind einige Dinge zu beachten, daher aktivieren wir hier DKIM nicht automatisch. Sie müssen dann einen passenden DNS-Record anlegen, in dem die öffentlichen Schlüssel abgelegt sind. Wir nutzen zurzeit den Selektor key1, der entsprechende DNS-Eintrag, der unter der Subdomain '''key1._domainkey''' als TXT-Record angelegt werden muss, lautet:

	<pre>v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAplysJ1bZ2xrWbnLwLr0yRijIeLSKIkmHKIRFYoDc4omsQOGU7yv6xxpRfjiUDoTTO2E4InayR68pWGSU0lPv8Q7fBVE/UcH5JfP7IJGsEsPTCUMxZY2M9e7Kg7J1LrPNpiV8P6xcGyDHA1RyGMUwFS86rjzXK//9o+8szgzSTY7X7cio/J+a/5bKaVF0vva9YNS+WHI6LxnYzHZQbFGZNIZnAlKPd+LHnbwfYKU20QgZKeHguGOi4VMb77wUFlXrRjEafmKQlfsAyyKrkzs42nYk/UuxRZcqadJAEo87umgeQPjbyc64LazMTcQOSBqTBX59CaF0DBP3RggmN0CpdwIDAQAB</pre>		<pre>v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAplysJ1bZ2xrWbnLwLr0yRijIeLSKIkmHKIRFYoDc4omsQOGU7yv6xxpRfjiUDoTTO2E4InayR68pWGSU0lPv8Q7fBVE/UcH5JfP7IJGsEsPTCUMxZY2M9e7Kg7J1LrPNpiV8P6xcGyDHA1RyGMUwFS86rjzXK//9o+8szgzSTY7X7cio/J+a/5bKaVF0vva9YNS+WHI6LxnYzHZQbFGZNIZnAlKPd+LHnbwfYKU20QgZKeHguGOi4VMb77wUFlXrRjEafmKQlfsAyyKrkzs42nYk/UuxRZcqadJAEo87umgeQPjbyc64LazMTcQOSBqTBX59CaF0DBP3RggmN0CpdwIDAQAB</pre>
Zeile 32:		Zeile 32:

	Sie haben die Möglichkeit, selbst einen DMARC-Record (TXT-Record mit prefix ''_dmarc'') in den DNS-Einstellungen zu erstellen. Dieser überschreibt automatisch den von uns erstellten Record, damit haben Sie auf Wunsch die Möglichkeit, die Policy oder andere DMARC-Optionen selbst zu setzen. Natürlich gilt auch hier: Sie sind dann selbst verantwortlich.		Sie haben die Möglichkeit, selbst einen DMARC-Record (TXT-Record mit prefix ''_dmarc'') in den DNS-Einstellungen zu erstellen. Dieser überschreibt automatisch den von uns erstellten Record, damit haben Sie auf Wunsch die Möglichkeit, die Policy oder andere DMARC-Optionen selbst zu setzen. Natürlich gilt auch hier: Sie sind dann selbst verantwortlich.

			== Externe DNS-Server ==

			Auch bei einem externem DNS-Server müssen Sie einen DMARC-Record selbst anlegen.
			Unser Standard-Record sieht so aus:
			<pre>v=DMARC1; p=none; fo=1; rua=mailto:dmarcrua@schokokeks.net</pre>
			und muss unter der Subdomain '''_dmarc''' als TXT-Record veröffentlicht werden.

Hanno: /* Externe Mail-Server */

2023-12-09T19:59:14Z

Externe Mail-Server

← Nächstältere Version		Version vom 9. Dezember 2023, 21:59 Uhr
Zeile 23:		Zeile 23:
	== Externe Mail-Server ==		== Externe Mail-Server ==

	Sollten Sie Mails über externe Mailserver verschicken, aber gleichzeitig unseren DNS-Server nutzen, müssen Sie eventuell den ~~DMARC~~-Schlüssel des externen Servers bei uns eintragen.		Sollten Sie Mails über externe Mailserver verschicken, aber gleichzeitig unseren DNS-Server nutzen, müssen Sie eventuell den DKIM-Schlüssel des externen Servers bei uns eintragen.

	= DMARC =		= DMARC =

Hanno am 29. Juli 2023 um 12:44 Uhr

2023-07-29T12:44:00Z

← Nächstältere Version		Version vom 29. Juli 2023, 14:44 Uhr
Zeile 15:		Zeile 15:
	== Externe DNS-Server ==		== Externe DNS-Server ==

	Wenn Sie einen externen DNS-Server nutzen und gleichzeitig DKIM aktivieren möchten, sind einige Dinge zu beachten, daher aktivieren wir hier DKIM nicht automatisch. Sie müssen dann einen passenden DNS-Record anlegen, in dem die öffentlichen Schlüssel abgelegt sind. Wir nutzen zurzeit den Selektor key1, der entsprechende DNS-Eintrag lautet:		Wenn Sie einen externen DNS-Server nutzen und gleichzeitig DKIM aktivieren möchten, sind einige Dinge zu beachten, daher aktivieren wir hier DKIM nicht automatisch. Sie müssen dann einen passenden DNS-Record anlegen, in dem die öffentlichen Schlüssel abgelegt sind. Wir nutzen zurzeit den Selektor key1, der entsprechende DNS-Eintrag, der unter der Subdomain 'key1._domainkey' angelegt werden muss, lautet:

	<pre>v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAplysJ1bZ2xrWbnLwLr0yRijIeLSKIkmHKIRFYoDc4omsQOGU7yv6xxpRfjiUDoTTO2E4InayR68pWGSU0lPv8Q7fBVE/UcH5JfP7IJGsEsPTCUMxZY2M9e7Kg7J1LrPNpiV8P6xcGyDHA1RyGMUwFS86rjzXK//9o+8szgzSTY7X7cio/J+a/5bKaVF0vva9YNS+WHI6LxnYzHZQbFGZNIZnAlKPd+LHnbwfYKU20QgZKeHguGOi4VMb77wUFlXrRjEafmKQlfsAyyKrkzs42nYk/UuxRZcqadJAEo87umgeQPjbyc64LazMTcQOSBqTBX59CaF0DBP3RggmN0CpdwIDAQAB</pre>		<pre>v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAplysJ1bZ2xrWbnLwLr0yRijIeLSKIkmHKIRFYoDc4omsQOGU7yv6xxpRfjiUDoTTO2E4InayR68pWGSU0lPv8Q7fBVE/UcH5JfP7IJGsEsPTCUMxZY2M9e7Kg7J1LrPNpiV8P6xcGyDHA1RyGMUwFS86rjzXK//9o+8szgzSTY7X7cio/J+a/5bKaVF0vva9YNS+WHI6LxnYzHZQbFGZNIZnAlKPd+LHnbwfYKU20QgZKeHguGOi4VMb77wUFlXrRjEafmKQlfsAyyKrkzs42nYk/UuxRZcqadJAEo87umgeQPjbyc64LazMTcQOSBqTBX59CaF0DBP3RggmN0CpdwIDAQAB</pre>

Hanno: style

2023-07-29T12:43:16Z

style

← Nächstältere Version		Version vom 29. Juli 2023, 14:43 Uhr
Zeile 9:		Zeile 9:
	== Mails von PHP-Applikationen und anderen serverseitigen Anwendungen ==		== Mails von PHP-Applikationen und anderen serverseitigen Anwendungen ==

	Mails werden nur signiert, wenn sie authentifiziert - also mittels eines Logins mit Benutzername und Passwort - über unseren Mailserver versendet werden. Das bedeutet, dass Mails, die etwa über die Kommandozeile mittels sendmail oder über die PHP-Standardfunktion mail() versendet werden, nicht signiert werden.		Mails werden nur signiert, wenn sie authentifiziert - also mittels eines Logins mit Benutzername und Passwort - über unseren Mailserver versendet werden. Das bedeutet, dass Mails, die etwa über die Kommandozeile mittels ''sendmail'' oder über die PHP-Standardfunktion ''mail()'' versendet werden, nicht signiert werden.

	Bei den meisten Anwendungen ist es möglich, einen Mailversand über das SMPT/Submission-Protokoll zu konfigurieren und dort entsprechende Zugangsdaten anzugeben.		Bei den meisten Anwendungen ist es möglich, einen Mailversand über das SMPT/Submission-Protokoll zu konfigurieren und dort entsprechende Zugangsdaten anzugeben.
Zeile 15:		Zeile 15:
	== Externe DNS-Server ==		== Externe DNS-Server ==

	Wenn Sie einen externen DNS-Server nutzen und gleichzeitig DKIM aktivieren möchten, sind einige Dinge zu beachten, daher aktivieren wir hier DKIM nicht automatisch. Sie müssen dann einen passenden DNS-Record anlegen, in dem die öffentlichen Schlüssel abgelegt sind. Wir nutzen ~~zur Zeit~~ den Selektor key1, der entsprechende DNS-Eintrag lautet:		Wenn Sie einen externen DNS-Server nutzen und gleichzeitig DKIM aktivieren möchten, sind einige Dinge zu beachten, daher aktivieren wir hier DKIM nicht automatisch. Sie müssen dann einen passenden DNS-Record anlegen, in dem die öffentlichen Schlüssel abgelegt sind. Wir nutzen zurzeit den Selektor key1, der entsprechende DNS-Eintrag lautet:

	<pre>v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAplysJ1bZ2xrWbnLwLr0yRijIeLSKIkmHKIRFYoDc4omsQOGU7yv6xxpRfjiUDoTTO2E4InayR68pWGSU0lPv8Q7fBVE/UcH5JfP7IJGsEsPTCUMxZY2M9e7Kg7J1LrPNpiV8P6xcGyDHA1RyGMUwFS86rjzXK//9o+8szgzSTY7X7cio/J+a/5bKaVF0vva9YNS+WHI6LxnYzHZQbFGZNIZnAlKPd+LHnbwfYKU20QgZKeHguGOi4VMb77wUFlXrRjEafmKQlfsAyyKrkzs42nYk/UuxRZcqadJAEo87umgeQPjbyc64LazMTcQOSBqTBX59CaF0DBP3RggmN0CpdwIDAQAB</pre>		<pre>v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAplysJ1bZ2xrWbnLwLr0yRijIeLSKIkmHKIRFYoDc4omsQOGU7yv6xxpRfjiUDoTTO2E4InayR68pWGSU0lPv8Q7fBVE/UcH5JfP7IJGsEsPTCUMxZY2M9e7Kg7J1LrPNpiV8P6xcGyDHA1RyGMUwFS86rjzXK//9o+8szgzSTY7X7cio/J+a/5bKaVF0vva9YNS+WHI6LxnYzHZQbFGZNIZnAlKPd+LHnbwfYKU20QgZKeHguGOi4VMb77wUFlXrRjEafmKQlfsAyyKrkzs42nYk/UuxRZcqadJAEo87umgeQPjbyc64LazMTcQOSBqTBX59CaF0DBP3RggmN0CpdwIDAQAB</pre>
Zeile 27:		Zeile 27:
	= DMARC =		= DMARC =

	Mittels DMARC kann man festlegen, wie andere Mailserver mit DKIM ~~und~~ SPF, und ~~auch mit~~ fehlenden Signaturen umgehen sollen.		Mittels DMARC kann man festlegen, wie andere Mailserver mit DKIM, SPF und fehlenden Signaturen umgehen sollen.

	Leider gibt es mit DMARC verschiedene Probleme im Zusammenhang mit Mailinglisten und Weiterleitungen, für die es keine zufriedenstellende Lösung gibt. Wir aktivieren daher standardmäßig DMARC nur mit einer Policy im "soft"-Modus ("p=none"). Damit sollten andere Mailserver auch fehlerhaft oder nicht signierte Mails nicht ablehnen.		Leider gibt es mit DMARC verschiedene Probleme im Zusammenhang mit Mailinglisten und Weiterleitungen, für die es keine zufriedenstellende Lösung gibt. Wir aktivieren daher standardmäßig DMARC nur mit einer Policy im "soft"-Modus ("p=none"). Damit sollten andere Mailserver auch fehlerhaft oder nicht signierte Mails nicht ablehnen.

	Sie haben die Möglichkeit, selbst einen DMARC-Record in den DNS-Einstellungen zu erstellen. Dieser überschreibt automatisch den von uns erstellten Record, damit haben Sie auf Wunsch die Möglichkeit, die Policy oder andere DMARC-Optionen selbst zu setzen. Natürlich gilt auch hier: Sie sind dann ~~auch~~ selbst ~~dafür~~ verantwortlich.		Sie haben die Möglichkeit, selbst einen DMARC-Record (TXT-Record mit prefix ''_dmarc'') in den DNS-Einstellungen zu erstellen. Dieser überschreibt automatisch den von uns erstellten Record, damit haben Sie auf Wunsch die Möglichkeit, die Policy oder andere DMARC-Optionen selbst zu setzen. Natürlich gilt auch hier: Sie sind dann selbst verantwortlich.

Hanno am 29. Juli 2023 um 12:35 Uhr

2023-07-29T12:35:36Z

← Nächstältere Version		Version vom 29. Juli 2023, 14:35 Uhr
Zeile 1:		Zeile 1:
	Mit der DKIM-Technik wird die Zustellung und Herkunft Ihrer E-Mails digital signiert.		Mit der DKIM-Technik wird die Zustellung und Herkunft Ihrer E-Mails digital signiert. Wir werden in Kürze DKIM und DMARC automatisch für Kunden aktivieren, die unseren DNS- und Mailserver nutzen.

			Im Konfigurationsinterface unter "Domains - Mail-Verwaltung" können Sie für Ihre Domains DKIM und DMARC aktivieren/deaktivieren.

	= DKIM =		= DKIM =

	DKIM ~~ist nicht zu verwechseln mit einer E-Mail-Signatur in Ihrem Anwendungsprogramm (PGP oder S/MIME)~~, letztere identifiziert Sie als Absender i.d.R. namentlich von Ihnen als Absender bis zum Empfänger. DKIM sichert dagegen nur den Weg von Ihrem Mail-Server (also unseren Anlagen) bis zum Mail-Server des Empfängers. Dazu wird ein DNS-Record publiziert, der einen öffentlichen Schlüssel für Ihre Domain enthält. Jeder DKIM-kompatible Mailserver prüft nun bei eingehenden E-Mails ~~von Ihrer Domain ob die Signatur zu diesem Schlüssel passt.~~		Für bei uns gehostete Domains und Mailadressen funktioniert DKIM automatisch, solange die Mails über unsere Mailserver gesendet werden.

	~~Die Motivation bei der Erfindung von DKIM war ähnlich wie bei einfacheren SPF, bei dem nur~~ über die IP-Adressen eine feste Menge an Mail-Servern für den Versand aus Ihrer Domain erlaubt wird. Der Vorteil von DKIM ist, dass damit Weiterleitungen möglich sind, wenn die DKIM-Signatur und der Absender gleich bleiben.

			== Mails von PHP-Applikationen und anderen serverseitigen Anwendungen ==

	~~= DMARC =~~		Mails werden nur signiert, wenn sie authentifiziert - also mittels eines Logins mit Benutzername und Passwort - über unseren Mailserver versendet werden. Das bedeutet, dass Mails, die etwa über die Kommandozeile mittels sendmail oder über die PHP-Standardfunktion mail() versendet werden, nicht signiert werden.

	~~Als zusätzliche Einstellung können wir für Sie auch~~ einen ~~DMARC~~-~~Record veröffentlichen. Dies ist eine Anweisung an den empfangenden Mailserver, eingehende Mail von dieser Domain nur dann~~ zu ~~akzeptieren, wenn diese per DKIM signiert ist~~ und ~~von einem mit SPF erlaubten Mailserver stammt~~.		Bei den meisten Anwendungen ist es möglich, einen Mailversand über das SMPT/Submission-Protokoll zu konfigurieren und dort entsprechende Zugangsdaten anzugeben.

	~~Dazu kann mittels DMARC festgelegt werden, dass Zustellversuche an den Inhaber der Domain gemeldet werden, um eine Fehleranalyse zu bewerkstelligen.~~		== Externe DNS-Server ==

	~~Übrigens können~~ Sie ~~auch~~ einen ~~eigenen DMARC-Record im~~ DNS-Server ~~anlegen mit Ihren eigenen Einstellungen~~ und ~~Reporting~~-~~Adressen. Diese Einstellung muss dafür nicht aktiviert sein~~.		Wenn Sie einen externen DNS-Server nutzen und gleichzeitig DKIM aktivieren möchten, sind einige Dinge zu beachten, daher aktivieren wir hier DKIM nicht automatisch. Sie müssen dann einen passenden DNS-Record anlegen, in dem die öffentlichen Schlüssel abgelegt sind. Wir nutzen zur Zeit den Selektor key1, der entsprechende DNS-Eintrag lautet:

			<pre>v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAplysJ1bZ2xrWbnLwLr0yRijIeLSKIkmHKIRFYoDc4omsQOGU7yv6xxpRfjiUDoTTO2E4InayR68pWGSU0lPv8Q7fBVE/UcH5JfP7IJGsEsPTCUMxZY2M9e7Kg7J1LrPNpiV8P6xcGyDHA1RyGMUwFS86rjzXK//9o+8szgzSTY7X7cio/J+a/5bKaVF0vva9YNS+WHI6LxnYzHZQbFGZNIZnAlKPd+LHnbwfYKU20QgZKeHguGOi4VMb77wUFlXrRjEafmKQlfsAyyKrkzs42nYk/UuxRZcqadJAEo87umgeQPjbyc64LazMTcQOSBqTBX59CaF0DBP3RggmN0CpdwIDAQAB</pre>

	~~== Unzulänglichkeiten ==~~		Bitte beachten Sie, dass Sie selbst verantwortlich sind, den DNS-Eintrag anzupassen, falls wir den Key wechseln. Wir werden in dem Fall betroffene Kunden informieren.

	Die anfängliche Zielsetzung von DKIM war es, dass Mailserver nicht signierte Mails direkt abweisen können und somit niemand Fremdes unter Ihrer Domain Nachrichten versenden kann. Dieses Ziel wurde leider durch einige Design-~~Schwächen und unzulängliche Implementierungen konterkariert und DKIM wird daher heute nur als ein Indiz unter mehreren in Spamfiltern verwendet.~~		== Externe Mail-Server ==

	~~Leider gibt es insbesondere bei~~ DMARC ~~als Kombination von SPF und DKIM ein schwer lösbares Problem mit jeglicher Art von Weiterleitungen. Für SPF sollte zwingend der Absender beim Weiterleiten umgeschrieben werden,~~ bei ~~DKIM sollte er nicht geändert werden~~.		Sollten Sie Mails über externe Mailserver verschicken, aber gleichzeitig unseren DNS-Server nutzen, müssen Sie eventuell den DMARC-Schlüssel des externen Servers bei uns eintragen.

	~~Aufgrund der Weiterleitungs-Problematik müssen die Einstellungen bei~~ DMARC ~~momentan sehr locker gesetzt werden, so dass diese Technik Sie trotzdem nicht vor Spoofing schützen kann.~~		= DMARC =

			Mittels DMARC kann man festlegen, wie andere Mailserver mit DKIM und SPF, und auch mit fehlenden Signaturen umgehen sollen.

	= ~~Fazit / Empfehlung =~~		Leider gibt es mit DMARC verschiedene Probleme im Zusammenhang mit Mailinglisten und Weiterleitungen, für die es keine zufriedenstellende Lösung gibt. Wir aktivieren daher standardmäßig DMARC nur mit einer Policy im "soft"-Modus ("p=none"). Damit sollten andere Mailserver auch fehlerhaft oder nicht signierte Mails nicht ablehnen.

	~~Wir empfehlen~~, ~~DKIM für Ihre Domain einzuschalten aber~~ DMARC ~~momentan noch nicht~~ zu ~~aktivieren~~. ~~Die Verwendung~~ von ~~DKIM als Zusatz schadet nicht und bringt Ihren Mails eventuell zusätzliche Vorteile beim empfangenden Spamfilter~~.		Sie haben die Möglichkeit, selbst einen DMARC-Record in den DNS-Einstellungen zu erstellen. Dieser überschreibt automatisch den von uns erstellten Record, damit haben Sie auf Wunsch die Möglichkeit, die Policy oder andere DMARC-Optionen selbst zu setzen. Natürlich gilt auch hier: Sie sind dann auch selbst dafür verantwortlich.

Bernd: Die Seite wurde neu angelegt: „Mit der DKIM-Technik wird die Zustellung und Herkunft Ihrer E-Mails digital signiert. = DKIM = DKIM ist nicht zu verwechseln mit einer E-Mail-Signatur in Ihrem Anwendungsprogramm (PGP oder S/MIME), letztere identifiziert Sie als Absender i.d.R. namentlich von Ihnen als Absender bis zum Empfänger. DKIM sichert dagegen nur den Weg von Ihrem Mail-Server (also unseren Anlagen) bis zum Mail-Server des Empfängers. Dazu wird ein DNS-Record publiziert, der e…“

2023-05-16T15:38:55Z

Die Seite wurde neu angelegt: „Mit der DKIM-Technik wird die Zustellung und Herkunft Ihrer E-Mails digital signiert. = DKIM = DKIM ist nicht zu verwechseln mit einer E-Mail-Signatur in Ihrem Anwendungsprogramm (PGP oder S/MIME), letztere identifiziert Sie als Absender i.d.R. namentlich von Ihnen als Absender bis zum Empfänger. DKIM sichert dagegen nur den Weg von Ihrem Mail-Server (also unseren Anlagen) bis zum Mail-Server des Empfängers. Dazu wird ein DNS-Record publiziert, der e…“

Neue Seite

Mit der DKIM-Technik wird die Zustellung und Herkunft Ihrer E-Mails digital signiert.

= DKIM =

DKIM ist nicht zu verwechseln mit einer E-Mail-Signatur in Ihrem Anwendungsprogramm (PGP oder S/MIME), letztere identifiziert Sie als Absender i.d.R. namentlich von Ihnen als Absender bis zum Empfänger. DKIM sichert dagegen nur den Weg von Ihrem Mail-Server (also unseren Anlagen) bis zum Mail-Server des Empfängers. Dazu wird ein DNS-Record publiziert, der einen öffentlichen Schlüssel für Ihre Domain enthält. Jeder DKIM-kompatible Mailserver prüft nun bei eingehenden E-Mails von Ihrer Domain ob die Signatur zu diesem Schlüssel passt.

Die Motivation bei der Erfindung von DKIM war ähnlich wie bei einfacheren SPF, bei dem nur über die IP-Adressen eine feste Menge an Mail-Servern für den Versand aus Ihrer Domain erlaubt wird. Der Vorteil von DKIM ist, dass damit Weiterleitungen möglich sind, wenn die DKIM-Signatur und der Absender gleich bleiben.

= DMARC =

Als zusätzliche Einstellung können wir für Sie auch einen DMARC-Record veröffentlichen. Dies ist eine Anweisung an den empfangenden Mailserver, eingehende Mail von dieser Domain nur dann zu akzeptieren, wenn diese per DKIM signiert ist und von einem mit SPF erlaubten Mailserver stammt.

Dazu kann mittels DMARC festgelegt werden, dass Zustellversuche an den Inhaber der Domain gemeldet werden, um eine Fehleranalyse zu bewerkstelligen.

Übrigens können Sie auch einen eigenen DMARC-Record im DNS-Server anlegen mit Ihren eigenen Einstellungen und Reporting-Adressen. Diese Einstellung muss dafür nicht aktiviert sein.

== Unzulänglichkeiten ==

Die anfängliche Zielsetzung von DKIM war es, dass Mailserver nicht signierte Mails direkt abweisen können und somit niemand Fremdes unter Ihrer Domain Nachrichten versenden kann. Dieses Ziel wurde leider durch einige Design-Schwächen und unzulängliche Implementierungen konterkariert und DKIM wird daher heute nur als ein Indiz unter mehreren in Spamfiltern verwendet.

Leider gibt es insbesondere bei DMARC als Kombination von SPF und DKIM ein schwer lösbares Problem mit jeglicher Art von Weiterleitungen. Für SPF sollte zwingend der Absender beim Weiterleiten umgeschrieben werden, bei DKIM sollte er nicht geändert werden.

Aufgrund der Weiterleitungs-Problematik müssen die Einstellungen bei DMARC momentan sehr locker gesetzt werden, so dass diese Technik Sie trotzdem nicht vor Spoofing schützen kann.

= Fazit / Empfehlung =

Wir empfehlen, DKIM für Ihre Domain einzuschalten aber DMARC momentan noch nicht zu aktivieren. Die Verwendung von DKIM als Zusatz schadet nicht und bringt Ihren Mails eventuell zusätzliche Vorteile beim empfangenden Spamfilter.