Was ein DKIM-Schluesselpaar ist
DKIM (DomainKeys Identified Mail) ist eine Methode fuer deinen Mailserver, jede ausgehende Nachricht kryptografisch zu signieren, damit Empfaenger wie Gmail und Outlook pruefen koennen, dass die Mail wirklich von deiner Domain kommt und unterwegs nicht manipuliert wurde. Dazu braucht dein Mailserver ein Schluesselpaar: einen Private Key auf dem Server, der jede Nachricht signiert, und einen Public Key, den du als DNS-TXT-Record unter `<selector>._domainkey.<deine-domain>` veroeffentlichst, damit Empfaenger ihn fetchen koennen.
Das Tool generiert das Schluesselpaar in deinem Browser-Request, gibt den PEM-encoded Private Key zurueck (auf deinem Mailserver installieren) und den Paste-bereiten TXT-Record (in DNS veroeffentlichen). RSA, 1024/2048/4096 Bit, mit Nodes `crypto` (OpenSSL unter der Haube). Wir speichern den Key nie.
So nutzt du das Tool
- Selector waehlen: ein kurzes Label wie `mail2024`, `s1` oder `google`. Identifiziert, welcher Key signiert hat, ein neuer Selector erlaubt Rotation ohne alte Mail zu brechen.
- Key-Laenge waehlen: 2048 Bit ist der moderne Default. 1024 Bit ist Legacy (noch akzeptiert, aber abgeraten). 4096 Bit ist Overkill und bremst den Signing-Pfad.
- Optional: deine Domain eingeben, damit wir den vollen DNS-Namen zeigen (`<selector>._domainkey.<deine-domain>`). Ohne kriegst du trotzdem den TXT-Body.
- Klick Generieren. Wir geben den Private Key in PEM und den TXT-Record-Wert, fertig zum Pasten in dein DNS-Panel.
- Speicher den Private Key jetzt. Wir speichern ihn nicht. Tab zu = weg. Installier ihn im Mailserver (Postfix + opendkim, exim, MTA-STS, Mailgun, SendGrid, Postmark) nach deinem Provider-Doc.
- Veroeffentliche den TXT-Record unter `<selector>._domainkey.<deine-domain>` in DNS. Limitiert dein Provider einen TXT-String auf 255 Zeichen (RFC-Limit), nimm die Split-Form: `"part1" "part2"` auf einer Zeile.
- Warte auf DNS-Propagation (Minuten bis Stunden), schick eine Test-Mail, check die Header auf `dkim=pass`. Gmail zeigt das unter "Original anzeigen".
Wann das nuetzlich ist
Sechs typische Szenarien, in denen du ein frisches DKIM-Schluesselpaar brauchst:
- DKIM zum ersten Mal einrichten auf neuer Domain oder neuem Mailserver. Du brauchst das Paar, bevor du beide Seiten konfigurierst.
- Key-Rotation alle 6-12 Monate als Hygiene. Neuen Selector generieren, veroeffentlichen, Signing-Key umschalten, alten nach Karenzzeit zurueckziehen.
- Vermuteter Key-Kompromiss: Server-Breach, versehentliches Commiten in oeffentliches Repo, Ex-Admin mit Zugriff. Sofort neu generieren und alten durch Leeren des `p=`-Werts revoken.
- Zweite Sende-Quelle adden (transaktionaler Provider wie SendGrid neben eigenem Postfix). Jede Quelle will eigenen Selector und Key.
- Von 1024-Bit-Legacy-Key auf 2048-Bit-Modern-Key migrieren. Die meisten Provider warnen 2026 lautstark davor.
- DKIM testen auf Staging-Domain, bevor du es fuer Production-Mail anschaltest.
Verwandte Tools: Email-DNS-Pruefer, DNS-Lookup, Mail-Header-Analyse.