Nach dem SPF-Eintrag (siehe Mail-Einstellungen: SPF) kommt nun der nächste Baustein für eine sichere Mail-Zustellung: DKIM.
DKIM steht für „DomainKeys Identified Mail“. Klingt kompliziert, ist im Prinzip aber eine Art Siegel: Jede Mail, die unser Server für Euch verschickt, bekommt eine digitale Unterschrift. Der Empfänger kann damit prüfen, ob die Mail wirklich von Euch (bzw. in Eurem Auftrag von uns) kommt und unterwegs nicht verändert wurde.
SPF sagt also, wer Mails für Eure Domain versenden darf. DKIM sagt: diese Mail ist echt und unverändert.
Wie funktioniert das?
Die Unterschrift wird mit einem geheimen Schlüssel erstellt, der nur auf unseren Mailservern liegt. Den passenden öffentlichen Schlüssel, mit dem jeder die Unterschrift prüfen kann, findet der Empfänger – genau – im DNS-Eintrag (Domain-Namenssystem) für Eure Domain.
In Eurem DNS muss also ein TXT-Eintrag angelegt werden, der auf unseren Schlüssel verweist, und zwar in der Form
oo._domainkey IN TXT v=DKIM1; h=sha256; k=rsa; p=MIGfMA0G.....IDAQAB
In Worten: „Wir vertrauen Mail-Versendern, die einen Teil der Email mit dem Schlüssel „oo“ signiert haben“
Wie beim SPF gilt: Wie das geht, weiss am Besten Euer Domain-Administrator. Viele Hosting-Dienstleister haben aber auch einen Menüpunkt in ihrer Bedienoberfläche (meist irgendwo unter „DNS-Einstellungen“ oder „DNS-Records“).
Warum ist das wichtig?
Die Mail-Provider prüfen bei eingehenden Mails inzwischen beides: SPF und DKIM. Gerade die Großen (Google, Microsoft, Yahoo & Co.) bestehen mittlerweile ziemlich deutlich darauf. Fehlt die Unterschrift, ist die Mail nicht automatisch Spam – aber sie hat schlechtere Karten.
Und DKIM kann etwas, das SPF nicht kann: Wird eine Mail weitergeleitet (z.B. vom Postfach bei GMX automatisch an Gmail), passt der SPF-Eintrag nicht mehr, denn der weiterleitende Server steht ja nicht auf Eurer „erlaubt“-Liste. Die DKIM-Unterschrift reist aber mit der Mail mit und bleibt gültig. Weitergeleitete Mails landen deshalb mit DKIM deutlich seltener im Spam-Ordner.
Also:
- Nachweis, dass die Mail wirklich von Euch kommt
- Schutz davor, dass die Mail unterwegs verändert wird
- höhere Sicherheit, dass gewollte (Shop-) Mails auch wirklich beim Kunden ankommen – auch bei weitergeleiteten Mails
Und was ist DMARC?
Vielleicht ist Euch der Begriff schon begegnet. DMARC ist der Dritte im Bunde: Damit legt Ihr fest, was der Empfänger tun soll, wenn SPF und/oder DKIM nicht passen (nichts tun, in den Spam-Ordner, ablehnen) – und Ihr könnt Euch Berichte darüber schicken lassen. DMARC baut auf SPF und DKIM auf. Deshalb erst diese beiden sauber einrichten, dann DMARC.
Geht halt nicht anders?
Wenn es nun absolut nicht geht: Wir verschicken Eure Mails natürlich trotzdem – nur eben nicht für Eurer Domain unterschrieben. Das Risiko, im Spam-Ordner zu landen, ist dann halt höher. Die Warnmeldung könnt Ihr, wie beim SPF, im Adminbereich (Status->Monitor) mit einem Häkchen für die Zukunft (zumindest für einige Zeit) unterdrücken.
Siehe auch Mail-Einstellungen: SPF und Mails, Mails, Mails…
