DKIM-Selektor finden: im Header ablesen und die Standardwerte der Anbieter
Um einen DKIM-Schlüssel zu prüfen, brauchst du den Selektor, und den kennt man oft nicht. Er steht in jeder signierten Mail, und für die gängigen Anbieter gibt es feste Standardwerte. So findest du ihn in wenigen Minuten.
Was der Selektor ist
DKIM signiert jede Mail mit einem privaten Schlüssel. Der öffentliche Schlüssel steht als TXT-Eintrag im DNS, und zwar unter einem Namen nach diesem Muster:
selektor._domainkey.example.comDer Selektor ist der erste Teil dieses Namens. Es gibt ihn, damit eine Domain mehrere Schlüssel haben kann, etwa einen je Versanddienst oder einen alten und einen neuen bei einem Schlüsselwechsel. Man kann die Selektoren einer Domain nicht einfach auflisten, denn das DNS kennt keine Liste. Deshalb muss man den Namen kennen oder aus einer Mail ablesen.
Weg 1: im Mail-Header nachsehen
Das ist der sicherste Weg. Jede mit DKIM signierte Mail enthält eine Kopfzeile DKIM-Signature:
DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=selector1; h=from:to:subject; ...s=ist der Selektor (hierselector1).d=ist die signierende Domain (hierexample.com).
Der DNS-Eintrag liegt dann unter selector1._domainkey.example.com.
So kommst du an den Header: Schicke dir selbst eine Mail aus dem betreffenden System, öffne sie und wähle „Original anzeigen“ (Gmail), „Nachrichtenquelltext anzeigen“ (Thunderbird) oder „Eigenschaften › Internetkopfzeilen“ (Outlook). Noch einfacher: Schicke die Mail an eine Postwacht-Testadresse. Der Bericht nennt Selektor, Domain und Schlüssellänge.
Enthält die Mail mehrere DKIM-Signature-Zeilen, wurde sie mehrfach signiert, etwa vom Versanddienst und von deinem Mailserver. Für DMARC zählt die Signatur, deren d= zur Absenderdomain passt.
Weg 2: Standard-Selektoren der Anbieter
Viele Anbieter verwenden feste Namen. Das sind die gängigen, die du bei Bedarf probieren kannst:
| Anbieter | Üblicher Selektor |
|---|---|
| Google Workspace | google (frei wählbar bei der Einrichtung) |
| Microsoft 365 | selector1 und selector2 (als CNAME eingetragen) |
| SendGrid | s1 und s2 |
| Mailchimp | k1 (bis k3) |
| eigener Mailserver | oft default, mail oder dkim |
Das sind Erfahrungswerte, keine Garantie. Dein Anbieter kann etwas anderes vorgeben, und die Anleitung der Einrichtung nennt den genauen Namen.
Den Schlüssel prüfen
Mit dem Selektor kannst du den Eintrag abrufen. Der DKIM-Check ruft selektor._domainkey.domain ab, zeigt den Schlüssel an und prüft die Länge. Trägst du keinen Selektor ein, probiert er die gängigen automatisch durch.
Ein guter Eintrag sieht so aus:
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...p=enthält den öffentlichen Schlüssel. Ein leeresp=bedeutet, dass der Schlüssel zurückgezogen wurde.- Empfohlen sind 2048 Bit. 1024 Bit gelten noch als zulässig, sind aber schwächer.
Wenn nichts gefunden wird
- Falscher Selektor: Lies ihn aus dem Header ab, statt zu raten.
- Falsche Domain: Maßgeblich ist
d=in der Signatur, nicht unbedingt die Absenderdomain. Bei Versanddiensten steht dort manchmal deren Domain. - Eintrag noch nicht aktiv: Nach dem Anlegen dauert es je nach TTL eine Weile.
- Doppelter Domainname: Manche DNS-Oberflächen hängen die Domain automatisch an. Aus
selector1._domainkey.example.comwird dannselector1._domainkey.example.com.example.com. Trage nurselector1._domainkeyein. - Der Dienst signiert nicht: Manche Anbieter signieren erst, nachdem du den Eintrag angelegt und im Konto bestätigt hast.
Häufige Fragen
Kann eine Domain mehrere Selektoren haben?
Ja, beliebig viele. Üblich ist einer je Versanddienst, und bei einem Schlüsselwechsel zeitweise zwei.
Muss der Selektor geheim bleiben?
Nein. Er steht in jeder signierten Mail und im DNS. Geheim ist nur der private Schlüssel beim Absender.
Kann ich den Selektor selbst wählen?
Bei eigenen Mailservern und manchen Diensten wie Google Workspace ja, bei anderen gibt der Anbieter ihn vor.