Wie Sie prüfen, ob DKIM nach einem Wechsel des E-Mail-Anbieters eingerichtet ist

Prüfen Sie nach einem Wechsel, ob jede Versanddomain den DKIM-Schlüssel des neuen Anbieters veröffentlicht, unter dem Selector, mit dem dieser Anbieter signiert. Geben Sie diesen Selector in den Bulk-DKIM-Checker ein und fügen Sie alle Ihre Domains ein: Jede Zeile zeigt, ob der Schlüssel vorhanden ist, seine Länge und jeden Fehler, etwa einen CNAME, der ins Leere zeigt.

DKIM für eine Liste von Domains prüfen →

In großen Mengen prüfen

1. Öffnen Sie den Bulk-DKIM-Checker.
2. Fügen Sie die Versanddomains ein, eine pro Zeile: bis zu 100 pro Durchlauf, oder 500 nach einer kostenlosen Google-Anmeldung.
3. Geben Sie den Selector des neuen Anbieters ein: google für Google Workspace, selector1, selector2 für Microsoft 365, oder den, den Ihr ESP auf seiner DNS-Einrichtungsseite anzeigt. Bis zu drei, durch Kommas getrennt. Lassen Sie das Feld leer, um 22 gängige Selectors auszuprobieren.
4. Klicken Sie auf Check DKIM (DKIM prüfen).
5. Lesen Sie jede Zeile: Key found, Weak key, Testing, Revoked, Broken, CNAME to nothing oder No key found. Laden Sie die CSV herunter.

Von Hand

printf "github.com\nstripe.com\nnotion.so\n" > domains.txt
sel=google

while read -r d; do
  key=$(dig +short txt "$sel._domainkey.$d" | grep -v '\.$' | tr -d '" \n')
  if [ -z "$key" ]; then echo "$d,$sel,NO KEY"; continue; fi
  bits=$(echo "$key" | sed 's/.*p=//; s/;.*//' | base64 -d 2>/dev/null \
    | openssl pkey -pubin -inform DER -noout -text 2>/dev/null | sed -n 's/.*(\([0-9]*\) bit).*/\1/p')
  echo "$d,$sel,${bits:-unreadable} bit"
done < domains.txt
# github.com,google,2048 bit
# stripe.com,google,1024 bit
# notion.so,google,NO KEY

Wir haben das am 9. November 2026 ausgeführt. grep -v '\.$' verwirft die CNAME-Zeile, die dig ausgibt, wenn der Selector delegiert ist, sodass nur der Schlüssel dekodiert wird. NO KEY bei notion.so bedeutet nur, dass unter dem Selector google nichts veröffentlicht ist; die Domain signiert womöglich mit einem anderen.

Selectors, die auf einen Anbieter zeigen, erscheinen als CNAMEs:

dig +short cname s1._domainkey.github.com
# s1.domainkey.u51742174.wl175.sendgrid.net.

Die Schritte, die nach einem Wechsel oft fehlen

• Die Signierung einschalten. Auf Googles Seite Set up DKIM fügen Sie zuerst den DNS-Eintrag hinzu und klicken später auf Start Authentication; dort steht auch, dass es bis zu 48 Stunden dauern kann, bis es funktioniert. Bei Microsoft 365 veröffentlichen Sie die CNAMEs und aktivieren dann die Signierung; siehe Microsofts DKIM-Anleitung.
• Das richtige Microsoft-Ziel. Microsofts Anleitung sagt, dass benutzerdefinierte Domains, die seit Mai 2025 hinzugefügt wurden, CNAME-Ziele auf dkim.mail.microsoft erhalten, während bestehende Domains das ältere Format onmicrosoft.com behalten, und dass beide für denselben Selector nicht nebeneinander bestehen können. Kopieren Sie die Werte, die Ihnen das Defender-Portal gibt, nicht die aus einer alten Einrichtung.
• Schlüssellänge. RFC 8301 sagt, dass Signierer "MUST use RSA keys of at least 1024 bits" (RSA-Schlüssel mit mindestens 1024 Bit verwenden müssen) und "SHOULD use RSA keys of at least 2048 bits" (RSA-Schlüssel mit mindestens 2048 Bit verwenden sollten). Googles Seite empfiehlt, 2048 zu wählen, wenn Ihr DNS-Host es unterstützt.
• Der Selector des alten Anbieters. Lassen Sie ihn bestehen, bis der alte Anbieter nicht mehr sendet, damit noch unterwegs befindliche Mails verifiziert werden. Entfernen Sie ihn dann oder veröffentlichen Sie ihn leer (p=), was RFC 6376 als widerrufenen Schlüssel definiert.
• Der Beweis aus einer echten Nachricht. Senden Sie sich selbst eine Nachricht und lesen Sie den Header DKIM-Signature: s= ist der Selector, d= die signierende Domain. Ist d= die Domain des Anbieters statt Ihrer eigenen, ist DKIM für DMARC nicht aligned.

Für die Einrichtung je Anbieter siehe DKIM-Einrichtung für Google Workspace, DKIM-Einrichtung für Microsoft 365 und DKIM für jeden Dienst, der in Ihrem Namen sendet.

Nächster Schritt: die Liste vor dem ersten Versand prüfen

Ein Anbieterwechsel ist der Moment, in dem alte Listenprobleme sichtbar werden: Die neue Plattform beurteilt Sie nach Ihren ersten Sendungen. Laden Sie die Liste unter /verify hoch, um jedes Postfach zu prüfen, ohne etwas zu senden. Die ersten 100 Prüfungen sind mit einer Google-Anmeldung kostenlos, ohne Karte.

Pro, 39 $ pro Monat: unbegrenzte E-Mail-Verifizierung.* Nie pro Prüfung abgerechnet, nie abgeschaltet. Siehe Preise.

*Fair Use: die ersten 100.000 Prüfungen im Monat mit voller Geschwindigkeit, danach langsamer, nie abgeschaltet.

Weiterlesen: Zustellbarkeit nach dem ESP-Wechsel gesunken, E-Mail-Plattform wechseln? Erst die Liste verifizieren.