DKIM-Generator: DKIM-Schlüssel und DNS-Eintrag erstellen

Microsoft 365, Google Workspace, Brevo, Mailchimp, SendGrid, Amazon SES und fast jeder gehostete Dienst erzeugen das Schlüsselpaar selbst und zeigen Ihnen den Eintrag zum Veröffentlichen, oft als CNAME, der in deren eigenes DNS zeigt. Nehmen Sie deren Eintrag; ein Schlüssel von hier nützt ihnen nichts, weil sie die private Hälfte nie sehen würden.

Postfix mit OpenDKIM, rspamd, Exim, ein Mailserver im Container, ein selbst gehostetes Newsletter-Tool oder eine Anwendung, die ihre E-Mails selbst signiert: Sie alle brauchen ein Schlüsselpaar, das Sie erzeugen, und einen Eintrag, den Sie veröffentlichen. Dafür ist dieser Generator da. Die meisten dieser Programme lesen den privaten Schlüssel als PEM-Datei, genau das Format, das Sie hier herunterladen.

RSA 2048 ist der Standard: von jedem Empfänger akzeptiert, als sicher eingestuft, nur die Länge des Eintrags macht manchmal Ärger. RSA 1024 ist das Minimum, das Empfänger noch annehmen; nutzen Sie es nur, wenn das DNS Sie dazu zwingt. Ed25519 (RFC 8463) ist modern und kurz, etwa 60 Zeichen, wird aber noch nicht von jedem Empfänger geprüft. Veröffentlichen Sie es als zweiten Schlüssel unter eigenem Selector neben einem RSA-Schlüssel, nie allein.

Wenn Sie einen bestehenden Schlüssel suchen: Google Workspace nutzt google, Microsoft 365 selector1 und selector2, SendGrid s1 und s2, Mailchimp k2 und k3. Amazon SES verwendet drei zufällige Kennungen, die Sie in der SES-Konsole finden. Der Email Security Check probiert diese Namen automatisch.

Nein. Das Schlüsselpaar entsteht mit WebCrypto in Ihrem Browser und existiert nur in diesem Tab. „Veröffentlichten Eintrag laden“ liest den öffentlichen Schlüssel aus dem DNS, der ohnehin öffentlich ist. Laden Sie den privaten Schlüssel herunter, bevor Sie die Seite schließen oder neu laden, denn danach lässt er sich nicht wiederherstellen.

Nein. Beide erzeugen den Schlüssel selbst. Bei Microsoft 365 veröffentlichen Sie zwei CNAME-Einträge namens selector1 und selector2 und schalten die Signatur dann im Defender-Portal ein; bei Google Workspace erzeugen Sie den Schlüssel in der Admin-Konsole unter Gmail-Authentifizierung und veröffentlichen den dort angezeigten TXT-Eintrag.

RSA 2048. Wird überall akzeptiert und gilt als sicher. 1024 Bit ist das Minimum und lohnt sich nur, wenn Ihre DNS-Oberfläche keinen längeren Wert speichern kann. Mehr als 2048 bringt wenig, und manche Empfänger kommen mit 4096-Bit-Schlüsseln schlecht zurecht.

Ein frei gewählter Name, der Empfängern den richtigen Schlüssel zeigt. Eine Signatur trägt s=202610, der Empfänger fragt dann 202610._domainkey.example.com ab. Verschiedene Dienste sowie alte und neue Schlüssel bekommen so je einen eigenen Selector, ohne sich in die Quere zu kommen.

Alle sechs bis zwölf Monate, und sofort, wenn ein Server mit dem Schlüssel kompromittiert war. Veröffentlichen Sie den neuen Schlüssel zuerst unter einem neuen Selector, stellen Sie die Signatur um und lassen Sie den alten Eintrag noch etwa eine Woche stehen, bevor Sie ihn widerrufen.

Nehmen Sie die aufgeteilte Form, die den Wert in Zeichenketten von höchstens 255 Zeichen in Anführungszeichen zerlegt. Lehnt die Oberfläche auch die ab, begrenzt sie die Gesamtlänge; dann erzeugen Sie einen RSA-1024-Schlüssel, dessen Wert etwa 220 Zeichen lang ist.