E-Mail-Sicherheit durch DKIM-Eintrag verbessern

Als Markdown ansehen

Erfahren Sie hier, wie Sie einen DKIM-Eintrag für Domainnamen und E-Mail-Dienste bei OVHcloud einrichten

Ziel

Der DKIM-Eintrag (DomainKeys Identified Mail) ermöglicht die Signierung von E-Mails, um Identitätsbetrug zu vermeiden. Diese Signatur basiert auf dem Hash-Prinzip in Kombination mit einer asymmetrischen Kryptographie.

Diese Anleitung erklärt, wie DKIM funktioniert und wie Sie es für Ihren E-Mail-Dienst einrichten.

Voraussetzungen

Zugriff auf das OVHcloud Kundencenter

  • Direkter Link:
  • Navigationspfad: Web Cloud > DNS-Zone > Wählen Sie Ihren Domainnamen aus
Warning

Wenn Ihr Domainname keine OVHcloud DNS-Server verwendet, muss die Änderung des DKIM über das Interface des Anbieters vorgenommen werden, bei dem die Konfiguration Ihres Domainnamens verwaltet wird.

Wenn Ihr Domainname bei OVHcloud registriert ist, können Sie im überprüfen, ob OVHcloud DNS-Server genutzt werden, indem Sie den Domainnamen auswählen und dann den Tab DNS-Zone öffnen.

In der praktischen Anwendung

Inhaltsübersicht

Wie funktioniert DKIM?

Um zu verstehen, wie DKIM Ihre E-Mail-Transaktionen absichern kann, muss erklärt werden, wie DKIM grundsätzlich funktioniert. DKIM verwendet Hashing und Asymmetrische Verschlüsselung, um eine sichere Signatur zu erstellen. Der E-Mail-Dienst und die DNS-Zone Ihrer Domain helfen, die DKIM-Informationen an Ihre Empfänger weiterzuleiten.

Hashing

Das Prinzip einer Hash-Funktion ist, eine Signatur (auch Fingerprint genannt) aus Eingabedaten zu generieren. Das Ziel ist, eine feste Zeichenfolge als Ausgabe zu erhalten, unabhängig von der Menge der eingegebenen Daten.

Im folgenden Diagramm können Sie sehen, dass der Output unter Verwendung eines MD5-Hash-Algorithmus (Message Digest 5) immer aus 32 Zeichen besteht, während der Input-Text in seiner Größe variieren kann. Jede Zeichenänderung in den Eingabedaten verändert den Ausgabe-Hash vollständig, wodurch die Ausgabe-Signatur unvorhersehbar und fälschungssicher ist. Im folgenden Beispiel wird der Eingangswert (Input) in den MD5 Hash-Algorithmus übertragen und die Ausgabe (Output) ist der Hash-Wert.

hash

Die Hash-Funktion ist nützlich zum Überprüfen der Integrität einer Nachricht. Unterschiede in Eingabedaten, die oberflächlich nicht auffallen, produzieren einen völlig unterschiedlichen Hashwert mit gleicher Zeichenlänge in der Ausgabe, unabhängig von der Eingabegröße.

Asymmetrische Verschlüsselung

Verschlüsselung sorgt für die Chiffrierung der Eingabedaten. Sie ist asymmetrisch, da zum Ver- und Entschlüsseln der Nachricht nicht derselbe Schlüssel verwendet wird, im Gegensatz zu einer symmetrischen Verschlüsselung mit identischem Schlüssel.

Bei der asymmetrischen Verschlüsselung werden ein öffentlicher Schlüssel und ein privater Schlüssel eingesetzt. Der öffentliche Schlüssel ist für jeden sicht- und nutzbar. Der private Schlüssel wird nur von dessen Inhaber verwendet und ist nicht öffentlich sichtbar.

Es gibt zwei Verwendungszwecke für asymmetrische Verschlüsselung:

  • Die Eingabedaten werden mit dem öffentlichen Schlüssel verschlüsselt und von demjenigen entschlüsselt, der den privaten Schlüssel besitzt. Sie möchten zum Beispiel anderen eine sichere Datenübermittlung zu Ihnen ermöglichen. Sie stellen Ihren öffentlichen Schlüssel bereit und erlauben so jedermann, Daten damit zu verschlüsseln. Die so verschlüsselten Daten können nur vom Inhaber des privaten Schlüssels gelesen werden.
hash
  • Die Eingabedaten werden vom Inhaber des privaten Schlüssels verschlüsselt und vom öffentlichen Schlüssel entschlüsselt. Diese Verwendung gilt für die Authentifizierung eines Datenaustauschs. Ihre Empfänger möchten zum Beispiel verifizieren, dass Sie der Autor einer Nachricht sind. In diesem Fall verschlüsseln Sie Ihre Nachricht mit Ihrem privaten Schlüssel. Diese Nachricht kann nur mit dem zugehörigen öffentlichen Schlüssel entschlüsselt werden, den Sie bereitstellen, was die Authentizität der Nachricht garantiert. Eine vom öffentlichen Schlüssel dechiffrierte Nachricht kann nur vom Inhaber des privaten Schlüssels kommen.
hash
Wie werden asymmetrisches Hashing und Verschlüsselung für DKIM verwendet?

Für E-Mail-Dienste nutzt DKIM das Hashing-Verfahren, um eine Signatur aus einigen Elementen des E-Mail-Headers sowie des Inhalts der E-Mail (Body) zu erstellen.

Die Signatur wird dann mit dem privaten Schlüssel asymmetrisch verschlüsselt.

Warum müssen die DNS Server konfiguriert werden?

Damit der Empfänger die DKIM-Signatur des Absenders überprüfen kann, benötigt er die DKIM-Parameter, insbesondere den öffentlichen Schlüssel, um die Signatur zu entschlüsseln. Die DNS-Zone eines Domainnamens ist öffentlich verfügbar, deshalb wird, um den öffentlichen Schlüssel und die DKIM-Parameter an den Empfänger weiterzuleiten, ein DNS-Eintrag verwendet.

Was ist ein DKIM-Selektor?

Wenn Sie DKIM aktivieren, funktioniert es mit einem Schlüsselpaar. Es ist möglich, Ihrem Domainnamen mehrere Schlüsselpaare zuzuweisen, zum Beispiel mittels einer Rotation. Wenn Sie das Schlüsselpaar wechseln, muss das alte Paar so lange aktiv bleiben, bis alle mit dem alten Schlüssel versendete E-Mails den DKIM-Check beim Empfangsserver nicht mehr bestehen.

Damit dieses Prinzip der Rotation funktioniert, werden DKIM-Selektoren eingesetzt. Ein DKIM-Selektor beinhaltet ein private key/public key Paar. Es ist als Zeichenkette in der DKIM-Signatur einer E-Mail sichtbar, nach dem Argument s=. Diese Signatur kann im Header der E-Mail ausgelesen werden.

Beispiel einer DKIM-Signatur

DKIM-Signature: v=1; a=rsa-sha256; d=mydomain.ovh; s=ovhex123456-selector1; c=relaxed/relaxed; t=1681877341;

Der Wert des Selektors ist hier s=ovhex123456-selector.

Beispiel einer gesendeten E-Mail mit DKIM

Wenn Sie eine E-Mail über contact@mydomain.ovh versenden, wird dem Header der E-Mail eine mit privatem Schlüsssel verschlüsselte Signatur hinzugefügt.

Der Empfänger recipient@otherdomain.ovh kann diese Signatur mit dem in der DNS-Zone von mydomain.ovh verfügbaren öffentlichen Schlüssel entschlüsseln. Die Signatur wird anhand des Inhalts der E-Mail erstellt. Wird die E-Mail während der Übermittlung manipuliert, entspricht die Signatur nicht mehr dem Inhalt und die DKIM-Überprüfung des Zielservers scheitert.

DKIM automatisch für ein E-Mail-Angebot von OVHcloud konfigurieren

Die automatische DKIM-Konfiguration ist für alle unsere E-Mail-Angebote verfügbar:

Wenn Sie Ihren Domainnamen auf einer E-Mail-Lösung von OVHcloud konfigurieren, wird die automatische DKIM-Konfiguration standardmäßig angeboten und durchgeführt, sofern Sie sie nicht deaktivieren.

Wenn DKIM nicht aktiviert wurde, als Sie einen Domainnamen zu Ihrer E-Mail-Plattform hinzugefügt haben, müssen Sie den automatischen Konfigurationsprozess über das Kundencenter starten.

Klicken Sie auf das unten stehende Registerblatt, das zu Ihrem Angebot passt.

E-Mails (MX Plan)
Exchange
E-Mail Pro
Zimbra
  1. Loggen Sie sich in Ihr ein.
  2. Öffnen Sie den Bereich Web Cloud.
  3. Klicken Sie auf MX Plan.
  4. Wählen Sie die betreffende Domain aus.
  5. Gehen Sie dann auf den Tab Allgemeine Informationen.

Im Bereich Allgemeine Informationen können Sie sehen, dass die Schaltfläche DKIM unter Diagnose rot ist.

email

Um DKIM zu aktivieren, klicken Sie einfach auf die rote Schaltfläche DKIM und dann auf Bestätigen im Aktivierungsdialog, der angezeigt wird.

email

Falls Ihr Domainname nicht im gleichen OVHcloud Kundencenter wie Ihre E-Mail-Plattform verwaltet wird oder außerhalb von OVHcloud registriert ist, erhalten Sie das folgende Fenster:

email

Dieses Fenster fordert Sie dazu auf, zwei CNAME-Werte in der DNS-Zone des Domainnamens einzugeben, wodurch dieser Domainname mit den DKIM-Selektoren Ihres E-Mail-Dienstes verknüpft wird. Sie müssen diese Werte eingeben und sicherstellen, dass sie verbreitet wurden, bevor Sie auf Aktivieren klicken.

Die automatische DKIM-Aktivierung dauert zwischen 30 Minuten und 24 Stunden. Um zu prüfen, ob Ihr DKIM funktioniert, kehren Sie einfach in den Bereich zur Domainverwaltung zurück, der in den oben genannten Tabs erwähnt wird, und stellen Sie sicher, dass die Schaltfläche DKIM grün ist oder für Zimbra, dass DKIM keine Warnung mehr anzeigt.

email

Falls nach 24 Stunden die Schaltfläche DKIM immer noch rot ist, konsultieren Sie den Abschnitt „Warum ist DKIM nicht funktional und erscheint rot im Kundencenter?“ in dieser Anleitung.

DKIM per API für eine E-Mail von OVHcloud konfigurieren

Um Ihr DKIM zu konfigurieren müssen Sie zuerst die Dienst-Referenz (Dienstname) Ihres E-Mail-Dienstes abrufen.

Klicken Sie auf den Tab für Ihren Dienst:

Exchange
E-Mail Pro
  1. Loggen Sie sich in Ihr ein.
  2. Öffnen Sie den Bereich Web Cloud.
  3. In der Rubrik MICROSOFT, klicken Sie auf Exchange.
  4. Wählen Sie den gewünschten Dienst aus.
  5. Gehen Sie dann auf den Tab Assoziierte Domains.

Der Dienstname ist identisch mit der Referenz oder wird unter dem individuellen Namen angezeigt, den Sie diesem Dienst gegeben haben (siehe Abbildung).

E-Mail

Vergewissern Sie sich, dass der Domainname, den Sie für Ihre E-Mails verwenden möchten, im Bereich Assoziierte Domains aktiv ist.

E-Mail

API - Vollständige Konfiguration von DKIM

Um DKIM zu konfigurieren, besuchen Sie die OVHcloud API-Seite und melden Sie sich an:

  1. Klicken Sie auf Authentication oben links.
  2. Klicken Sie anschließend auf Login with OVHcloud SSO.
  3. Geben Sie Ihre OVHcloud Anmeldeinformationen ein.
  4. Klicken Sie auf den Button Authorize, um die API-Aufrufe von dieser Website zu autorisieren.
Info

Nutzen Sie unsere Anleitung „Erste Schritte mit der OVHcloud API“, falls Sie die API noch nie verwendet haben.

Gehen Sie im API-Interface zum Bereich /email/domain/ (Angebote MX Plan und Zimbra), /email/exchange (Angebot Exchange) oder /email/pro (Angebot E-mail Pro) und geben Sie „dkim“ in das Feld Filter ein, um nur die API-Funktionen anzuzeigen, die sich auf DKIM beziehen.

Klicken Sie auf den Tab für Ihren Dienst:

MX Plan und Zimbra
Exchange
E-Mail Pro
email
Für MX Plan und Zimbra

Folgen Sie den 5 Schritten, indem Sie nacheinander auf die Tabs klicken:

1. DKIM für Ihre Domain aktivieren
2. Status des DKIM-Vorgangs überprüfen
3. DNS-Eintrag abrufen
4. DNS-Eintrag konfigurieren
5. Aktivierung des DKIM

Aktivieren Sie DKIM für Ihre Domain über folgenden API-Aufruf:

PUT/email/domain/{domain}/dkim/enable
  • domain: Geben Sie den Domainnamen ein, der mit Ihrem E-Mail-Dienst verbunden ist, für den Sie DKIM aktivieren möchten.

Klicken Sie auf EXECUTE, um die Aktivierung zu starten.

Beispielausgabe:

{
 "domain": "mydomain.ovh",
 "id": 123455789,
 "function": "domain/enableDKIM",
 "status": "todo"
}

Sie sollten das gleiche Ergebnis wie im oben stehenden Beispiel erhalten, mit "status": "todo", der angibt, dass DKIM konfiguriert wird.

Exchange

Folgen Sie den 5 Schritten, indem Sie auf jeden Tab klicken.

1. Liste der Selektoren
2. Selektor erstellen
3. DNS-Eintrag abrufen
4. DNS-Eintrag konfigurieren
5. DKIM aktivieren

Bevor Sie einen Selektor für Ihren Domainnamen erstellen, benötigen Sie dessen von der Exchange Plattform automatisch zugewiesenen Namen.


Verwenden Sie hierzu folgenden API-Aufruf:

GET/email/exchange/{organizationName}/service/{exchangeService}/domain/{domainName}/dkimSelector

  • domainName: Geben Sie den Exchange zugewiesenen Domainnamen ein, für den Sie DKIM aktivieren möchten.
  • exchangeService: Geben Sie den Namen Ihres Exchange in der Form "hosted-zz111111-1" oder "private-zz111111-1" ein.
  • organizationName: Geben Sie den Namen Ihres Exchange in der Form "hosted-zz111111-1" oder "private-zz111111-1" ein.

Beispielausgabe:

"ovhex123456-selector1"
"ovhex123456-selector2"
Für E-Mail Pro

Folgen Sie den 5 Schritten, indem Sie auf jeden Tab klicken.

1. Liste der Selektoren
2. Selektor erstellen
3. DNS-Eintrag abrufen
4. DNS-Eintrag konfigurieren
5. DKIM aktivieren

Bevor Sie einen Selektor für Ihren Domainnamen erstellen, benötigen Sie dessen von der E-Mail Pro Plattform automatisch zugewiesenen Namen.


Verwenden Sie hierzu folgenden API-Aufruf:

GET/email/pro/{service}/domain/{domainName}/dkim
  • service: Geben Sie den Namen Ihres E-Mail Pro in der Form "emailpro-zz111111-1" ein.
  • domainName: Geben Sie den E-Mail Pro zugewiesenen Domainnamen ein, für den Sie DKIM aktivieren möchten.

Beispielausgabe:

"ovhemp123456-selector1"
"ovhemp123456-selector2"

API - Die verschiedenen Zustände des DKIM

Klicken Sie auf den Tab für Ihren Dienst:

MX Plan und Zimbra
Exchange
E-Mail Pro

Überprüfen Sie bei DKIM-Operationen den aktuellen DKIM-Status mithilfe des folgenden API-Aufrufs.

GET/email/domain/{domain}/dkim
  • domain: Geben Sie den Domainnamen ein, der mit Ihrem E-Mail-Dienst verbunden ist, auf dem der DKIM vorhanden sein muss.

Sehen Sie sich dann den Wert status: im Ergebnis an:

  • disabled: DKIM ist deaktiviert, wurde noch nicht konfiguriert oder wurde über API deaktiviert.
  • modifying: Die DKIM-Konfiguration wird ausgeführt. Es muss gewartet werden, bis der Vorgang abgeschlossen ist.
  • toConfigure: Die DKIM-Konfiguration wartet auf die DNS-Einstellungen der Domain. Die DNS-Einträge müssen manuell in der DNS-Zone eingegeben werden. Gehen Sie zu Schritt 4. "Vollständige Konfiguration von DKIM" für MX Plan und Zimbra.
  • enabled: DKIM ist konfiguriert und funktionsfähig.
  • error: Fehler beim Installationsvorgang. Erstellen Sie ein Ticket für den Support und geben Sie die betreffende Domain an.

Auf der Ebene der Selektoren haben Sie auch drei mögliche Zustände:

API - DKIM deaktivieren und löschen

Warning

Für die Angebote Exchange und E-Mail Pro

Der DKIM-Selektor muss den Status inProduction oder ready haben, bevor er deaktiviert werden kann.

Wählen Sie das relevante E-Mail-Angebot aus:

MX Plan und Zimbra
Exchange
E-Mail Pro

Um DKIM zu aktivieren, verwenden Sie folgenden API-Aufruf:

PUT/email/domain/{domain}/dkim/enable

  • domain: Geben Sie den Domainnamen ein, der mit Ihrem E-Mail-Dienst verknüpft ist, auf dem DKIM aktiviert sein soll.

Beispiel für das Ergebnis:

{
 "domain": "guidesteam.ovh",
 "id": 123456789,
 "function": "domain/enableDKIM",
 "status": "todo"
}
Info

Während der Rotation des DKIM-Selektors können Sie den zweiten Selektor, den Sie erstellt haben, aktivieren und dazu wechseln. Dabei bleibt der erste Selektor aktiv, bis alle mit ihm gesendeten E-Mails vom Empfänger geprüft wurden.

DKIM deaktivieren und löschen

Warning

Für Exchange- und E-Mail Pro-Lösungen

Der DKIM-Selektor muss den Status inProduction haben, bevor er deaktiviert werden kann.

Klicken Sie auf den Tab für Ihren Dienst:

MX Plan und Zimbra
Exchange
E-Mail Pro

Wenn Sie DKIM deaktivieren möchten, ohne die Selektoren und deren Schlüsselpaare zu löschen, verwenden Sie folgenden API-Aufruf:

PUT/email/domain/{domain}/dkim/disable

  • domain: Geben Sie den Domainnamen ein, der mit Ihrem E-Mail-Dienst verbunden ist, auf dem der DKIM vorhanden sein muss.

Beispielausgabe:

{
 "domain": "guidesteam.ovh",
 "id": 174219594,
 "function": "domain/disableDKIM",
 "status": "todo"
}

DKIM für einen E-Mail-Dienst außerhalb Ihres OVHcloud Kunden-Accounts konfigurieren

Wenn Sie Ihre DNS-Zone konfigurieren möchten, um einen DKIM-Eintrag für Ihren Dienst hinzuzufügen, folgen Sie den nachstehenden Anweisungen.

Klicken Sie in Ihrem im Bereich Web Cloud in der linken Spalte auf Domainnamen und wählen Sie den entsprechenden Domainnamen aus.

Gehen Sie auf den Tab DNS Zone und klicken Sie rechts auf Eintrag hinzufügen. Es gibt 3 Möglichkeiten, einen Eintrag hinzuzufügen, um die DKIM-Konfiguration in Ihrer DNS-Zone durchzuführen:

  • DKIM-Eintrag: Konfiguration mit Bearbeitung aller Einstellungen eines DKIM-Eintrags.
  • TXT-Eintrag: Zu verwenden, wenn Ihnen DKIM-Einstellungen vollständig vorgegeben wurden.
  • CNAME-Eintrag: Für ein OVHcloud E-Mail-Angebot oder einen Microsoft E-Mail-Server zu verwenden.

DKIM-Eintrag

Dieser Eintrag wird im Interface als DKIM bezeichnet, aber es handelt sich in der Zone um einen TXT-Eintrag. Der DKIM-Eintrag soll die Konfiguration der verschiedenen Einstellungen erleichtern, indem sie in einzelnen Feldern dargestellt werden.

E-Mail
  • Subdomain: Geben Sie den Namen des DKIM-Selektors ein und fügen Sie ._domainkey als Suffix hinzu. Der Domainname wird automatisch hinzugefügt.

Beispiel:

  selector-name._domainkey.mydomain.ovh.

  • Version (v=): Zur Angabe der DKIM-Version Die Verwendung wird empfohlen und der Standardwert ist DKIM1.
    Wenn genutzt, muss dieser Tag am Anfang stehen und muss "DKIM1" sein. Einträge, die einen "v=" Tag mit einem anderen Wert beginnen, werden ignoriert.

  • Granularität (g=): Erlaubt die Angabe des "lokalen" Teils einer E-Mail-Adresse, also vor dem @.
    Damit können eine oder mehrere E-Mail-Adressen angegeben werden, die zur Signatur einer E-Mail mit dem DKIM-Schlüssel des Selektors autorisiert sind.
    Der Standardwert von "g=" ist "*", was bedeutet, dass alle E-Mail-Adressen den DKIM-Signaturschlüssel verwenden dürfen.
    Durch die Angabe eines spezifischen Wertes für "g=" kann die Verwendung des Schlüssels auf einen bestimmten lokalen Teil der E-Mail-Adresse oder auf einen bestimmten Bereich von E-Mail-Adressen unter Verwendung von Wildcards beschränkt werden (Beispiel: "*-group").

  • Algorithmus (Hash) (h=): Erlaubt die Angabe der Hash-Algorithmen, die zur Signatur der E-Mail-Header verwendet werden. Erstellen Sie hiermit eine Liste von Hash-Algorithmen, die für die DKIM-Signatur einer Nachricht verwendet werden.

  • Key-Typ (k=): Bestimmt den Signaturalgorithmus, der zur Signatur ausgehender E-Mails verwendet wird. Er teilt Empfängern mit, wie die Nachricht signiert wurde und welche Methode zur Echtheitsüberprüfung eingesetzt wird.
    Die möglichen Werte für "k=" beinhalten "rsa" für den Signaturalgorithmus RSA und "ed25519" für den Signaturalgorithmus Ed25519. Die Wahl des Algorithmus hängt von den Sicherheitsrichtlinien des Absenders und der Unterstützung beim Empfänger ab.

  • Anmerkungen (n=): Zur Beifügung von Zusatzinformationen für Administratoren, die das DKIM-Schlüsselsystem verwalten.
    Diese Anmerkungen können der Dokumentation dienen oder zur Verständlichkeit der DKIM-Funktion beitragen, etwa um Administratoren bei der Verwaltung zu helfen. In "n=" enthaltene Informationen werden softwareseitig nicht interpretiert und beeinträchtigen nicht die Funktionsweise von DKIM.

  • Public Key (base64) (p=): Enthält den Public Key für DKIM, in Base64 kodiert.
    Dieser Tag ist in der DKIM-Signatur zwingend erforderlich und erlaubt es den Empfängern der Signatur, den öffentlichen Schlüssel zu generieren, um damit die Authentizität der signierten Nachricht zu überprüfen.

  • Den Public Key widerrufen: Wenn ein öffentlicher DKIM-Schlüssel zurückgezogen wurde (z.B. wenn der private Schlüssel kompromittiert ist), muss für "p=" ein leerer Wert verwendet werden, um anzugeben, dass dieser öffentliche Schlüssel nicht mehr gültig ist. Beim Empfänger wird dann ein Fehler bei jeder DKIM-Signatur produziert, die sich auf einen zurückgezogenen Schlüssel stützt.

  • Dienstleistungstypen (s=): Der Tag "s=" ist optional und standardmäßig leer. Er erlaubt es, die Art(en) der Dienste anzugeben, für die der DKIM-Eintrag gilt.
    Die Diensttypen werden anhand einer Liste von Schlüsselwörtern definiert, je mit einem ":" getrennt.
    Der Empfänger soll diese Liste ignorieren, wenn der entsprechende Diensttyp nicht aufgeführt ist.
    Mit "s=" kann die Verwendung von Schlüsseln für andere Zwecke eingeschränkt werden, wenn die Verwendung von DKIM in Zukunft für andere Dienste definiert wird.
    Die derzeit definierten Diensttypen sind "*" (alle Arten von Diensten) und "email" (E-Mail).

  • Testmodus (t=y): Erlaubt es Domain-Inhabern, die Konfiguration von DKIM zu testen, ohne zu riskieren, dass Nachrichten zurückgewiesen oder als SPAM gekennzeichnet werden, wenn die Überprüfung der DKIM-Signatur fehlschlägt.
    Wenn "t=y" aktiv ist, soll der Empfänger Nachrichten, die zum Test signiert wurden, nicht anders behandeln als nicht signierte. Der Empfänger kann jedoch das Ergebnis des Tests nachverfolgen, um den Signatoren zu helfen.

  • Subdomains (t=s): Erlaubt es, die Verwendung der DKIM-Signatur auf den Domainnamen zu beschränken (Beispiel: @mydomain.ovh) oder zusätzlich den Versand über Subdomains zu erlauben (Beispiel: @mydomain.ovh, @test.mydomain.ovh, @other.mydomain.ovh, etc.)

TXT-Eintrag

Mit diesem Eintragstyp wird DKIM in der DNS-Zone Ihres Domainnamens konfiguriert. Ein gutes Verständnis der Syntax ist notwendig, um diesen Eintrag direkt zu bearbeiten.

Das Hinzufügen eines TXT-Eintrags bietet sich an, wenn Sie die entsprechenden Informationen vom Anbieter des E-Mail-Dienstes erhalten haben.

Die Zusammensetzung des DKIM-Eintrags wird im vorherigen Teil der Anleitung unter "DKIM-Eintrag" beschrieben.

Beispiel eines DKIM-Eintrags

  • Subdomain:
selector-name._domainkey.mydomain.ovh.
  • Ziel:
v=DKIM1;t=s;p= MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA77VDAIfyhjtoF0DIE5V7 rev1EKk4L0nxdBpD5O/jPrM4KP0kukeuB6IMpVplkkq52MSDeRcjoO50h0DmwZOr RUkyGjQwOnAh0VhY3fqkuwBYftEX7vWo8C2E1ylzimABkwPpSL62jZ1DheoXcil9 1M35wWBKtlYdXVedKjCQKOEnwTo+0hdNe38rU9NMgq6nbTIMjDntvxoVI+yF3kcx q/VpAY8BIYbcAXkVFvUyfUBABnnKpf0SfblsfcLW0Koy/FRxPDFOvnjNxXeOxMFR UI6K6PaW2WvtbJG2v+gHLY5M4tB0+/FNJU9emZfkPOk3DmRhZ8ENi7+oZa2ivUDj OQIDAQAB

CNAME-Eintrag

Der CNAME-Eintrag ist ein Alias. Dies bedeutet, dass der Zielwert auf eine URL verweist, die dann den DKIM-Eintrag an den Server liefert, der den CNAME-Eintrag abfragt. Dieser Typ von CNAME-Eintrag zur Konfiguration von DKIM ist üblich bei der Verwendung eines Microsoft E-Mail-Servers.

Dieser Eintragstyp wird zur Aktivierung von DKIM für Domainnamen verwendet, die für OVHcloud Exchange deklariert wurden. Auf diese Weise kann Ihr E-Mail-Anbieter die Sicherheit und Updates von DKIM für Sie verwalten.

DKIM testen

Wir empfehlen, eine E-Mail von einem Exchange-Account aus an eine E-Mail-Adresse zu senden, die beim Empfang die DKIM-Signatur überprüft.

Im Header der empfangenen E-Mail finden Sie folgendes:

ARC-Authentication-Results: i=1; mx.example.com;
       dkim=pass header.i=@mydomain.ovh header.s=ovhex123456-selector1 header.b=KUdGjiMs;
       spf=pass (example.com: domain of test-dkim@mydomain.ovh designates 54.36.141.6 as permitted sender) smtp.mailfrom=test-dkim@mydomain.ovh
Return-Path: <test-dkim@mydomain.ovh>

Um den Header einer E-Mail einzusehen, lesen Sie unsere Anleitung "E-Mail-Header extrahieren".

Einsatzzwecke

Wie und warum sollte ich mein DKIM-Schlüsselpaar ändern?

Warning

Diese Frage bezieht sich nur auf die Angebote Exchange und E-Mail Pro.

Wenn Sie DKIM zum ersten Mal für Ihren E-Mail-Dienst aktivieren, können Sie zwei Selektoren erstellen, die jeweils ein Schlüsselpaar enthalten. Die zweite Auswahl dient als Nachfolger der aktuellen Auswahl.

Um Versuchen entgegenzuwirken, die DKIM-Verschlüsselung zu entschlüsseln, sollten Sie das Schlüsselpaar regelmäßig wechseln. Vergewissern Sie sich, dass Sie Ihre beiden Selektoren korrekt konfiguriert haben, indem Sie sicherstellen, dass der erste den Status inProduction und der zweite den Status ready hat. Sie können diesen Status mit "API - Die verschiedenen Zustände des DKIM" überprüfen.

Klicken Sie auf den Tab für Ihren Dienst:

Exchange
E-Mail Pro

Verwenden Sie den folgenden API-Aufruf, um zum zweiten Selektor zu wechseln:

POST/email/exchange/{organizationName}/service/{exchangeService}/domain/{domainName}/dkim/{selectorName}/enable
  • domainName: Geben Sie den Domainnamen ein, der mit Ihrem Exchange verbunden ist.
  • selectorName Geben Sie den Namen des Selektors ein, zu dem Sie wechseln möchten.
  • organizationName: Geben Sie den Namen Ihres Exchange in der Form "hosted-zz111111-1" oder "private-zz111111-1" ein.
  • exchangeService: Geben Sie den Namen Ihres Exchange in der Form "hosted-zz111111-1" oder "private-zz111111-1" ein.

Nach dem Wechseln des Selektors können Sie den alten Selektor sieben Tage lang beibehalten, bevor er gelöscht und ersetzt wird.

Warum funktioniert der DKIM nicht und wird im Kundencenter rot angezeigt?

Warning

Diese Frage bezieht sich nur auf die Angebote Exchange und E-Mail Pro.

Bei einem nicht funktionalen DKIM werden Ihre E-Mails nicht mit DKIM signiert, obwohl dieser aktiviert oder eingerichtet ist. Loggen Sie sich zunächst in Ihrem Kundencenter ein, um den DKIM-Status zu überprüfen.

Klicken Sie auf den Tab für Ihren Dienst, um den Status von DKIM zu überprüfen:

Exchange
E-Mail Pro
  1. Loggen Sie sich in Ihr ein.
  2. Öffnen Sie den Bereich Web Cloud.
  3. In der Rubrik MICROSOFT, klicken Sie auf Exchange.
  4. Wählen Sie den gewünschten Dienst aus.
  5. Gehen Sie dann auf den Tab Assoziierte Domains.

Überprüfen Sie im Bereich Assoziierte Domains die Farbe des Eintrags DKIM rechts neben dem betreffenden Domainnamen (siehe Abbildung unten).

email

Hier sind die 4 Zustände, die zu dem roten DKIM-Symbol in Ihrem Kundencenter führen. Klicken Sie auf den Tab für Ihren Fehlercode:

501
502
503
504

"Only one DKIM selector has been initialized"

In der Konfiguration ist nur ein DKIM-Selektor vorhanden. Damit wir bei Bedarf zu einem neuen Schlüssel wechseln können, müssen wir die 2 vom Dienst bereitgestellten Selektoren konfigurieren.

So beheben Sie diesen Fehler:

  • Überprüfen Sie den Status der DKIM-Selektoren, um festzustellen, welcher Selektor konfiguriert werden muss. Lesen Sie hierzu den Abschnitt "Die verschiedenen DKIM-Zustände" in dieser Anleitung.
  • Nachdem Sie die zu konfigurierende Auswahl identifiziert haben, folgen Sie den Schritten im Abschnitt "Vollständige DKIM-Konfiguration" dieser Anleitung, je nach Ihrem Angebot (Exchange oder E-Mail Pro), und wenden Sie diese nur auf die betreffende Auswahl an. Warten Sie bis zu 24 Stunden, nachdem der Selektor eingerichtet wurde.

Wie kann ich über die OVHcloud API den Zustand eines nicht funktionierenden DKIM verstehen?

Wenn Sie DKIM mithilfe der OVHcloud API konfigurieren und es nicht funktioniert, finden Sie im Abschnitt "API - Die verschiedenen Zustände des DKIM" dieser Anleitung Informationen zum Status Ihrer Selektoren.

Im Folgenden finden Sie die Zustände, die den Betrieb Ihres DKIM blockieren können, und die passende Lösung für jede Situation.

Exchange und E-Mail Pro
E-Mails und Zimbra
  • WaitingRecord: DNS-Einträge in der DNS-Zone warten auf Konfiguration oder werden überprüft. Es wird automatisch und regelmäßig überprüft, ob der DNS-Eintrag vorhanden und korrekt ausgefüllt ist. Folgen Sie Schritt 5 im Bereich "API - Vollständige DKIM-Konfiguration", um die DNS-Zone korrekt zu konfigurieren.
  • ready: DNS-Einträge sind in der Zone vorhanden. DKIM kann jetzt aktiviert werden, indem Sie dem Abschnitt "API - DKIM aktivieren oder ändern" folgen.
  • deleting: DKIM wird gelöscht. Nach dem Löschen folgen Sie dem Abschnitt "API - ollständige DKIM-Konfiguration".
  • disabling: DKIM wird deaktiviert. Danach können Sie ihn reaktivieren, indem Sie den Abschnitt "API - DKIM aktivieren oder ändern" verwenden.
  • todo: Der Task wurde initialisiert und muss gestartet werden. Wenn er sich nach 24 Stunden noch in diesem Status befindet, können Sie ein Support-Ticket unter Angabe der Selektor-ID erstellen.

Weiterführende Informationen

Treten Sie unserer User Community bei.

War diese Seite hilfreich?