Zum Inhalt springen
Toolbox

DKIM- und BIMI-Check

Der DKIM-Check findet die Schlüssel deiner Domain und prüft ihre Länge, der BIMI-Check prüft Markenlogo, Zertifikat und die nötige DMARC-Policy.

DKIM und BIMI hängen zusammen: DKIM signiert ausgehende Mails, damit Empfänger prüfen können, dass sie unverändert von deiner Domain stammen. BIMI zeigt in unterstützten Postfächern dein Logo neben der Mail, setzt aber eine durchgesetzte DMARC-Policy voraus. Beide Checks findest du in der Kategorie Mail, beide brauchen eine Lizenz.

DKIM-Check

Den öffentlichen DKIM-Schlüssel veröffentlicht deine Domain als TXT-Record unter <selektor>._domainkey.<domain>. Den Selektor wählt der Mailserver oder Dienstleister. Er steht in jeder signierten Mail im Header DKIM-Signature als s=.

So prüfst du

  1. Gib die Domain ein.
  2. Trag im Feld Selektor den Selektor ein, etwa google oder selector1. Mehrere trennst du mit Komma oder Leerzeichen.
  3. Klick Prüfen.

Lässt du Selektor leer, probiert die App 46 gängige Selektoren durch, darunter die von Microsoft 365 (selector1, selector2), Google Workspace (google), Mailchimp, SendGrid, Fastmail, Proton und deutschen Hostern wie IONOS und Strato. Das ist praktisch für einen ersten Blick. Sicher ist aber nur die Prüfung mit dem Selektor aus einer echten Mail.

Die Tabelle DKIM-Schlüssel zeigt je gefundenem Selektor Typ, Länge, Status und den abgefragten Namen. Ist der Name per CNAME an einen Dienstleister delegiert, steht das Ziel dabei.

Befunde

Befund Bedeutung und was zu tun ist
RSA-Schlüssel mit 2048 Bit (oder Ed25519) In Ordnung.
RSA-Schlüssel mit 1024 Bit Warnung: 2048 Bit sind heute Standard. Beim nächsten Schlüsseltausch erhöhen.
RSA-Schlüssel mit nur … Bit (unter 1024) Fehler: Empfänger werten die Signatur als ungültig. Neuen Schlüssel mit 2048 Bit erzeugen.
Schlüssel widerrufen (leeres p=) Signaturen mit diesem Selektor schlagen fehl. Nach einem Schlüsseltausch ist das gewollt.
Testmodus (t=y) Empfänger behandeln signierte Mails wie unsignierte. Nach dem Test entfernen.
Kein DKIM-Schlüssel unter … Der Name existiert nicht oder enthält keinen DKIM-Record. Selektor prüfen.
mehrere DKIM-Records Pro Selektor ist genau einer erlaubt.
Fehler im Record Etwa fehlendes p, kein gültiges Base64, unbekannter Schlüsseltyp oder s=, das E-Mail ausschließt.
h=… erlaubt kein sha256 sha1 gilt als unsicher. h= entfernen oder sha256 erlauben.
Unter 46 gängigen Selektoren kein DKIM-Schlüssel gefunden Heißt nicht, dass DKIM fehlt. Mit dem s=-Wert aus einer Mail gezielt prüfen.
… Selektoren ohne Antwort Einzelne Abfragen bekamen keine Antwort. Später erneut prüfen oder einen anderen Resolver wählen.

BIMI-Check

BIMI (Brand Indicators for Message Identification) steht als TXT-Record unter default._bimi.<domain>. Er nennt die Adresse des Logos (l=) und optional ein Markenzertifikat (a=). Fehlt der Record bei einer Subdomain, sucht die App bei der Organisations-Domain.

Was geprüft wird

DMARC-Voraussetzung. Ohne durchgesetztes DMARC zeigt kein Postfach ein Logo. Die App prüft deshalb zuerst den DMARC-Record der Domain:

Befund Bedeutung
DMARC-Voraussetzung erfüllt p=quarantine oder p=reject für 100 % der Mails
DMARC-Policy „none“ reicht für BIMI nicht p auf quarantine oder reject anheben
DMARC pct=… BIMI verlangt, dass die Policy für 100 % gilt
DMARC sp=none Warnung: manche Postfächer verlangen auch für Subdomains eine Policy
Kein DMARC-Record erst DMARC einrichten

Der Record. Er muss mit v=BIMI1 beginnen und Logo oder Zertifikat per https angeben. Ein leeres l= bedeutet, dass die Domain bewusst auf BIMI verzichtet.

Das Zertifikat. Gmail und Apple Mail zeigen das Logo nur mit einem Verified oder Common Mark Certificate (VMC/CMC). Fehlt a=, gibt es eine Warnung. Ist a= gesetzt, prüft die App nur, dass es angegeben ist. Das Zertifikat selbst lädt und validiert sie nicht.

Das Logo. Die App lädt die SVG-Datei (Zeitlimit 10 Sekunden) und prüft:

  • ob sie mit HTTP 200 erreichbar und wirklich ein SVG ist,
  • ob sie das Profil SVG Tiny PS nutzt (baseProfile="tiny-ps"),
  • ob sie höchstens 32 KB groß ist,
  • ob sie Skripte oder Event-Handler enthält, die in BIMI verboten sind.

Hat die Domain keinen BIMI-Record, ist das nur ein Hinweis. BIMI ist optional.

Im Browser

In der Web-Version verhindert CORS meist den Abruf des Logos. Die App meldet das als Hinweis statt als Fehler. Die Desktop-App prüft das Logo vollständig.

Siehe auch