Zum Inhalt springen
Zur App Projekt besprechen

Kostenloser DKIM-Generator

DKIM Generator: DKIM-Schlüssel und DNS-Eintrag erstellen

Der Generator erzeugt ein RSA-Schlüsselpaar mit 2048 Bit und daraus den TXT-Eintrag unter selector._domainkey.deine-domain.at, der mit v=DKIM1; k=rsa; p= beginnt. Den privaten Schlüssel bekommst du als PEM-Datei für deinen Mailserver.

Das Schlüsselpaar entsteht in deinem Browser. Der private Schlüssel verlässt deinen Rechner nicht, wird nicht übertragen und nicht gespeichert. Für Microsoft 365, Google Workspace und die meisten Hoster brauchst du den Generator nicht: dort erzeugt der Anbieter den Schlüssel.

Zum Generator

In drei Schritten zu DKIM

  1. Erzeugen

    Domain und Selector eingeben, Schlüsselpaar erzeugen. Der private Schlüssel kommt auf den Mailserver.

  2. Eintragen

    Den öffentlichen Schlüssel als TXT-Eintrag selector._domainkey in der DNS-Verwaltung anlegen.

  3. Prüfen

    Mit dem E-Mail-Check nachsehen, ob der Schlüssel öffentlich steht.

DKIM-Schlüsselpaar erzeugen

Der Generator braucht JavaScript. Ohne läuft er nicht; das Schlüsselpaar lässt sich genauso mit OpenSSL auf dem eigenen Server erzeugen, die zwei Befehle stehen weiter unten.

Der Teil nach dem @ deiner Absenderadresse

Frei wählbar, etwa mail, der Name des Servers oder ein Monat wie 2026-10. Er steht später in jeder Signatur als s=.

Schlüssellänge
Weitere Einstellungen
Testmodus (t)

Dein DKIM-Eintrag

Typ
TXT
Name / Host
mail._domainkey Vollständig: mail._domainkey.deine-domain.at
Wert
v=DKIM1; k=rsa; p=… (erscheint nach dem Erzeugen)

Prüfung:

    Eingetragen? Mit dem E-Mail-Check prüfen, ob der Schlüssel öffentlich steht.

    Wer einen DKIM-Generator braucht und wer nicht

    DKIM braucht zwei Schlüssel: Der private signiert jede ausgehende Mail, der öffentliche steht im DNS, damit Empfänger die Signatur prüfen können. Den privaten muss der Server haben, der die Mails verschickt. Daraus folgt, wer ihn erzeugt.

    Der Anbieter erzeugt den Schlüssel

    • Microsoft 365: Im Defender-Portal DKIM für die Domain einschalten, dann zwei CNAME-Einträge selector1._domainkey und selector2._domainkey setzen.
    • Google Workspace: In der Admin-Konsole unter Gmail einen Schlüssel generieren lassen und den angezeigten TXT-Eintrag google._domainkey übernehmen.
    • Die meisten Hoster und Newsletter-Dienste: Schalter im Kundenbereich oder vorgegebene CNAME-Einträge.

    Ein selbst erzeugter Schlüssel hilft hier nicht, weil der Anbieter mit seinem eigenen signiert. Wie das bei den Anbietern konkret aussieht: Microsoft 365: SPF, DKIM und DMARC und DKIM und DMARC beim Hoster.

    Du erzeugst den Schlüssel selbst

    • eigener Mailserver mit Postfix und OpenDKIM, Rspamd oder Exim, wenn die Software den Schlüssel nicht selbst erzeugt
    • Anwendungen, die selbst signieren: Webshop, Buchungssystem, Ticket- oder Rechnungsprogramm mit eigenem SMTP-Versand und DKIM-Feld
    • Dienste, die ausdrücklich nach einem privaten Schlüssel im PEM-Format fragen

    Für genau diese Fälle ist der Generator gebaut. Weißt du nicht, ob deine Domain schon einen Schlüssel hat und unter welchem Selector: DKIM-Selector finden und Schlüssel prüfen.

    So trägst du den DKIM-Eintrag ein

    1. Privaten Schlüssel auf den Mailserver. Die PEM-Datei dorthin, wo deine Software sie erwartet, lesbar nur für den Dienst, der signiert. Selector und Domain trägst du dort ebenfalls ein, genau so wie oben.
    2. DNS-Verwaltung öffnen, beim Hoster oder Registrar der Domain, und einen Eintrag vom Typ TXT anlegen. Als Name mail._domainkey (mit deinem Selector). Steht die Domain neben dem Feld schon da, nicht noch einmal anhängen, sonst entsteht mail._domainkey.deine-domain.at.deine-domain.at.
    3. Den Wert einfügen, ohne Anführungszeichen, wenn die Oberfläche sie selbst setzt. Lehnt sie den langen Wert ab, nimm die Zonenzeile mit den Stücken oder erzeuge den Schlüssel mit 1024 Bit.
    4. Erst den Eintrag, dann das Signieren. Schalte die Signatur am Server erst ein, wenn der Eintrag öffentlich steht. Sonst schlägt DKIM bei jeder Mail fehl, bis der DNS nachgezogen hat.
    5. Prüfen. Im E-Mail-Check unter „DKIM-Selector angeben“ deinen Selector eintragen; er zeigt, ob der Schlüssel öffentlich steht. Ob die Signatur auch passt, zeigt eine Testmail an ein Postfach bei Gmail: In den Kopfzeilen steht dann dkim=pass.

    DKIM allein schützt noch nicht vor gefälschten Absendern. Das tut erst DMARC, das SPF und DKIM zusammenführt: Die Reihenfolge steht in DMARC einrichten: SPF, DKIM und der _dmarc-Eintrag, die beiden anderen Einträge bauen der SPF-Generator und der DMARC-Generator.

    Steht schon ein DKIM-Eintrag? Hier einfügen

    Den Wert aus der DNS-Verwaltung oder aus dig TXT mail._domainkey.deine-domain.at einfügen, auch in mehreren Zeichenketten mit Anführungszeichen. Der Prüfer liest Tags, Schlüsseltyp und Schlüssellänge, im Browser.

      Was im DKIM-Eintrag steht

      Ein DKIM-Eintrag ist eine Reihe von Tags, getrennt durch Semikolon (RFC 6376, Abschnitt 3.6.1):

      Zur Schlüssellänge sagt RFC 8301: Signierer müssen mindestens 1024 Bit verwenden und sollen 2048 Bit verwenden. Mit rsa-sha1 darf nicht mehr signiert werden. Ein Schlüssel mit 2048 Bit ergibt einen Wert von rund 400 Zeichen. Weil eine einzelne Zeichenkette im DNS höchstens 255 Zeichen lang sein darf, steht er dort in zwei Stücken (RFC 6376, Abschnitt 3.6.2.2).

      Den Selector wählst du frei. Mehrere Selectoren nebeneinander sind erlaubt und üblich: einer je Dienst, oder ein neuer beim Schlüsselwechsel, während der alte noch ein paar Tage stehen bleibt, bis keine damit signierten Mails mehr unterwegs sind.

      Ohne Browser: das Schlüsselpaar mit OpenSSL erzeugen

      Wer den privaten Schlüssel gar nicht erst außerhalb des Servers haben will, erzeugt ihn direkt dort. Das Ergebnis ist dasselbe wie oben: 

      openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out mail.private.pem
openssl pkey -in mail.private.pem -pubout -outform DER | openssl base64 -A

      Die zweite Zeile gibt den Wert für p= aus. Davor kommt v=DKIM1; k=rsa; , fertig ist der Eintrag. Den kannst du oben im Prüfer gegenlesen.

      Der Generator und der erste Befehl liefern den privaten Schlüssel im Format PKCS#8 (BEGIN PRIVATE KEY). Verlangt deine Software das ältere Format (BEGIN RSA PRIVATE KEY), wandelt openssl pkey -in mail.private.pem -traditional -out mail.rsa.pem ihn um.

      Erst erzeugen, dann prüfen

      SPF-Generator

      Den SPF-Eintrag aus Mailanbieter, Newsletter-Dienst und eigenen Servern zusammensetzen, mit Zählung der DNS-Abfragen.

      DMARC-Generator

      Wenn DKIM steht: Richtlinie und Berichtsadresse wählen und den DMARC-Eintrag kopieren.

      Häufige Fragen zum DKIM-Generator

      Wird mein privater Schlüssel übertragen oder gespeichert?

      Nein. Das Schlüsselpaar entsteht mit der Kryptografie-Schnittstelle deines Browsers (WebCrypto) auf deinem Rechner. Es gibt keine Abfrage an einen Server, und gespeichert wird nichts: Lädst du die Seite neu, ist der Schlüssel weg. Gezählt wird nur, dass ein Schlüssel erzeugt oder kopiert wurde, ohne Inhalt.

      Brauche ich für Microsoft 365 oder Google Workspace einen DKIM-Generator?

      Nein. Beide erzeugen den Schlüssel selbst und signieren damit. Bei Microsoft 365 setzt du zwei CNAME-Einträge, bei Google Workspace den TXT-Eintrag, den die Admin-Konsole anzeigt. Ein selbst erzeugter Schlüssel würde dort nie benutzt.

      Welche Schlüssellänge soll ich für DKIM nehmen?

      2048 Bit. RFC 8301 verlangt mindestens 1024 und empfiehlt 2048. 1024 Bit nur dann, wenn die DNS-Oberfläche deines Hosters den längeren Wert nicht annimmt und auch keine Zonenzeile mit mehreren Zeichenketten erlaubt.

      Was ist ein DKIM-Selector?

      Ein frei gewählter Name, unter dem der öffentliche Schlüssel im DNS steht: selector._domainkey.deine-domain.at. Er steht in jeder Signatur als s=, damit der Empfänger weiß, welchen Schlüssel er abfragen muss. So können mehrere Dienste mit eigenen Schlüsseln für dieselbe Domain signieren.

      Wie oft sollte ich den DKIM-Schlüssel wechseln?

      Eine feste Pflicht gibt es nicht. Spätestens wenn der private Schlüssel jemandem in die Hände gefallen sein könnte, etwa nach einem Einbruch in den Server: neuen Selector anlegen, darauf umstellen, und beim alten nach ein paar Tagen p= leeren.

      Der Wert ist zu lang für mein DNS-Feld. Was tun?

      Viele Oberflächen teilen lange TXT-Werte selbst auf. Wenn nicht: die Zonenzeile aus dem Generator nehmen, in der der Wert in Stücken zu höchstens 255 Zeichen steht, oder den Schlüssel mit 1024 Bit neu erzeugen.