DKIM-Domain (d=)

Was ist die DKIM-Domain (d=)?

Die DKIM-Domain, dargestellt durch das d=-Tag in einer DKIM-Signatur, identifiziert die Domain, die die Verantwortung für eine E-Mail-Nachricht übernimmt. Diese Domain erscheint im DKIM-Signature-Header und wird von empfangenden Mailservern genutzt, um die Echtheit der Nachricht zu überprüfen. Sie ist eines der wichtigsten Felder in DKIM, weil sie festlegt, welche Stelle für die Integrität der Nachricht bürgt.

Wenn der Mailserver eines Absenders eine Nachricht mit DomainKeys Identified Mail (DKIM) signiert, enthält die Signatur den d=-Wert, den Selektor (s=) und den kryptografischen Hash der Nachricht. Der empfangende Server ruft den öffentlichen Schlüssel für diese Domain aus dem DNS ab, lokalisiert über den Selektor den richtigen Eintrag und validiert die Signatur. Ist die Überprüfung erfolgreich, kann der Empfänger darauf vertrauen, dass die Nachricht nach dem Signieren nicht verändert wurde und tatsächlich von der angegebenen Domain stammt.

So funktioniert das DKIM-Domain-Tag (d=)

Jede ausgehende Nachricht enthält einen DKIM-Signature-Header wie diesen:

Hier teilt d=example.com dem prüfenden Server mit, dass die Domain example.com für die Signatur verantwortlich ist. Der empfangende Server sucht den öffentlichen Schlüssel im DNS unter:

Passt der aus dem DNS abgerufene öffentliche Schlüssel zu dem privaten Schlüssel, der die Nachricht signiert hat, besteht die Nachricht die DKIM-Prüfung. Der d=-Wert kann die Hauptdomain der Organisation sein oder eine Subdomain, die einem bestimmten Mail-Stream oder Anbieter zugeordnet ist.

Die Rolle der DKIM-Domain bei der Authentifizierung

Die DKIM-Domain ist zentral dafür, wie empfangende Mailserver das Domain-Alignment unter DMARC bestimmen. Bei der DMARC-Auswertung wird geprüft, ob die Domain in der DKIM-Signatur (d=) mit der sichtbaren Absenderdomain übereinstimmt oder eine Subdomain davon ist. Passen die Domains zusammen und ist die DKIM-Signatur gültig, besteht die Nachricht das DKIM-Alignment unter DMARC.

Zu den gängigen Implementierungspraktiken gehören:

• Eine einzige Signaturdomain (etwa d=example.com) für alle ausgehenden E-Mails verwenden
• Delegierte Subdomains (etwa d=mail.example.com) für bestimmte Anbieter oder Systeme nutzen
• Sicherstellen, dass jede Signaturdomain einen gültigen öffentlichen DKIM-Schlüssel im DNS veröffentlicht
• DKIM-Ergebnisse in DMARC-Berichten überwachen, um ein konsistentes Alignment zu bestätigen

Ohne korrekte Konfiguration können nicht übereinstimmende Domains dazu führen, dass DKIM besteht, DMARC aber fehlschlägt. Verwendet Ihre DKIM-Signatur zum Beispiel d=vendor.com, während Ihre Absenderdomain example.com lautet, erreicht die Nachricht unter der DMARC-Richtlinie unter Umständen kein Alignment.

DKIM-Domain (d=) und DMARCeye

DMARCeye analysiert die DKIM-Domains im gesamten authentifizierten Verkehr und zeigt, welche Systeme und Anbieter Nachrichten in Ihrem Namen signieren. Indem DMARCeye jeden d=-Wert seiner Organisationsdomain zuordnet, sehen Sie den Alignment-Status, die Gültigkeit der Schlüssel und alle abweichenden oder nicht vertrauenswürdigen Signierer.

Die Plattform verfolgt außerdem die Erfolgsraten der Signaturen über die Zeit und warnt Sie bei fehlenden oder abgelaufenen DKIM-Schlüsseln. Mit dieser Transparenz stellen Organisationen eine konsistente Authentifizierung über alle Absender sicher, wahren das Richtlinien-Alignment und schützen die Integrität ihrer Marke vor Spoofing-Versuchen.

Prüfen Sie Ihre eigene DKIM-Konfiguration:

Registrieren Sie sich für die kostenlose Testversion von DMARCeye und schützen Sie Ihre E-Mail-Domain.

Um mehr über DMARC und verwandte Begriffe zu erfahren, besuchen Sie das DMARCeye-Glossar.