Wie funktioniert DKIM?

DKIM – So funktioniert es

Versendende Server

Das Signieren einer E-Mail mit DKIM besteht aus zwei Schritten:

1. Der Domaininhaber erzeugt ein öffentliches/privates Schlüsselpaar zum Signieren ausgehender Nachrichten (mehrere Schlüsselpaare sind zulässig). Der öffentliche Schlüssel wird in einem DNS-TXT-Eintrag veröffentlicht, und der private Schlüssel wird dem DKIM-fähigen Postausgangsserver zur Verfügung gestellt.
2. Wenn ein berechtigter Benutzer des E-Mail-Servers eine E-Mail versendet, erzeugt der Server mit dem gespeicherten privaten Schlüssel eine digitale Signatur der Nachricht, die als Header in die Nachricht eingefügt wird, und die E-Mail wird wie gewohnt versendet

Empfangende Server

1. Der DKIM-fähige empfangende E-Mail-Server extrahiert die Signatur und die angegebene From:-Domain aus den E-Mail-Headern.
2. Der öffentliche Schlüssel wird für die angegebene From:-Domain aus dem DNS-System abgerufen.
3. Das empfangende Mailsystem verwendet den öffentlichen Schlüssel, um zu überprüfen, ob die Signatur mit dem passenden privaten Schlüssel erzeugt wurde. Eine Übereinstimmung belegt praktisch, dass die E-Mail tatsächlich von der angegebenen Domain und mit deren Erlaubnis gesendet wurde und dass die Header und der Inhalt der Nachricht während der Übertragung nicht verändert wurden.
4. Das empfangende E-Mail-System wendet auf Grundlage des Ergebnisses der Signaturprüfung lokale Richtlinien an. Beispielsweise kann die Nachricht gelöscht werden, wenn die Signatur nicht übereinstimmt.

Damit DKIM funktioniert, muss der Mailserver des Absenders die ausgehende E-Mail signieren, und zusätzlich muss ein öffentlicher DNS-Eintrag mit dem DKIM-Wert vorhanden sein.