DKIM (DomainKeys Identified Mail)
Eine digitale Signatur auf ausgehenden Mails, geprüft gegen einen öffentlichen Schlüssel im DNS, die belegt, dass die Nachricht nicht verändert wurde und wirklich von der signierenden Domain stammt.
DKIM signiert jede ausgehende Nachricht mit einem privaten Schlüssel, den der sendende Server hält. Der passende öffentliche Schlüssel steht im DNS unter <selector>._domainkey.<domain>. Der empfangende Server holt ihn, prüft die Signatur und weiß damit, dass die Nachricht über einen Server gelaufen ist, der den Schlüssel besitzt, und seither nicht verändert wurde.
Der Selector ist ein Name, mit dem eine Domain mehrere Schlüssel gleichzeitig veröffentlichen kann, etwa einen pro Mailanbieter oder einen pro Jahr. Die signierte Nachricht trägt den Selector in ihrem DKIM-Signature-Header (das s=-Tag), sodass der Empfänger weiß, welchen Schlüssel er holen muss.
Anders als SPF übersteht DKIM Weiterleitungen: Die Signatur reist mit der Nachricht. Es ist von den beiden das stärkere Verfahren für das DMARC-Alignment und das, was Sie zuerst zum Laufen bringen sollten. Schlüssel sollten 2048-Bit-RSA oder Ed25519 sein, und sie einmal im Jahr zu wechseln ist gute Praxis.