DKIM-Record Generator – DKIM-Eintrag online erstellen

Ein DKIM-Record wird als TXT-Eintrag unter selektor._domainkey.ihre-domain.de in der DNS-Zone hinterlegt. Der Eintrag enthält mindestens die Version (v=DKIM1), den Schlüsseltyp (k=rsa) und den öffentlichen Schlüssel (p=...).

Den zugehörigen Selektor und den Public Key erhalten Sie von Ihrem E-Mail-Server oder -Dienst. Unser DKIM-Record Generator hilft Ihnen, diese Angaben korrekt zusammenzusetzen und einen kopierfertigen DNS-Eintrag zu erzeugen.

Der DKIM-Selektor ist ein frei wählbarer Name, der zusammen mit der Domain den richtigen öffentlichen Schlüssel im DNS identifiziert. Er steht im DNS-Pfad vor ._domainkey – z. B. s1._domainkey.ihre-domain.de, wobei s1 der Selektor ist.

Den Selektor finden Sie in den DKIM-Einstellungen Ihres E-Mail-Servers oder -Dienstes. Bei Google Workspace heißt er standardmäßig google, bei Microsoft 365 selector1 oder selector2.

Der öffentliche Schlüssel wird Base64-kodiert im Tag p= hinterlegt. Kopieren Sie den Schlüssel ohne Zeilenumbrüche, Leerzeichen und ohne die Zeilen -----BEGIN PUBLIC KEY----- und -----END PUBLIC KEY-----.

Falls Ihr DNS-Anbieter die Länge eines TXT-Records begrenzt, können Sie den Wert auf mehrere Zeichenketten aufteilen – die meisten Provider unterstützen das automatisch.

Ja, pro Domain sind beliebig viele DKIM-Selektoren möglich. Jeder Selektor verweist auf einen eigenen öffentlichen Schlüssel im DNS.

Das ist in der Praxis üblich, wenn mehrere Systeme E-Mails für dieselbe Domain versenden – etwa der eigene Mailserver, ein Newsletter-Dienst und ein Ticketsystem. Jeder Dienst verwendet seinen eigenen Selektor und signiert E-Mails mit dem zugehörigen privaten Schlüssel.

DKIM-Flags sind optionale Steuerparameter im DNS-Record. t=y signalisiert, dass DKIM sich im Testbetrieb befindet – Empfängerserver sollen DKIM-Fehler nicht als Ablehnungsgrund werten.

t=s schränkt die Signatur auf die exakte Domain ein: Die Domain im d=-Tag der Signatur muss exakt mit der Absenderdomain übereinstimmen, Subdomains sind ausgeschlossen. In der Regel werden Flags nur während der Einführung oder bei speziellen Anforderungen gesetzt.

Eine Schlüssellänge von mindestens 2048 Bit gilt heute als Standard für DKIM. Ältere 1024-Bit-Schlüssel werden von den meisten Empfängerservern noch akzeptiert, bieten aber eine geringere Sicherheitsmarge.

Schlüssel mit 4096 Bit sind theoretisch sicherer, werden von manchen DNS-Anbietern jedoch nicht unterstützt, weil der TXT-Record die maximale Antwortgröße überschreiten kann. 2048 Bit bieten ein gutes Verhältnis aus Sicherheit und Kompatibilität. Prüfen Sie die aktuelle DKIM-Konfiguration Ihrer Domain mit unserem SPF, DMARC & DKIM Check.