Der neue Mailanbieter meldet aktiviertes DKIM, in empfangenen WordPress-Mails steht jedoch dkim=fail. Im DNS existiert noch der alte Selektor, der neue öffentliche Schlüssel wurde fehlerhaft kopiert und niemand hat geprüft, welche Domain tatsächlich signiert.
Ob DKIM funktioniert, zeigt die zugestellte Nachricht – nicht der Schalter im Providerkonto. Der öffentliche Selektoreintrag muss exakt stimmen, der private Schlüssel beim Signierdienst bleiben und Signaturdomain sowie Selektor müssen in den Headern geprüft werden.
- Was das Thema bedeutet
- Ein realistisches WordPress-Beispiel
- Warum es wichtig ist und wann es eingesetzt wird
- Der einfache Weg für Einsteiger
- Der technische Weg
- Risiken, häufige Fehler, Backup und Rollback
- Wie AIOWS unterstützt: AIOWS SMTP Manager
- Passende AIOWS-Artikel
- Fazit und empfohlener Weg
- Offizielle Quellen
Was das Thema bedeutet
DomainKeys Identified Mail (DKIM) versieht ausgewählte Header und den Nachrichtenkörper mit einer kryptografischen Signatur. Der Versanddienst verwahrt den privaten Schlüssel. Empfänger lesen Signierdomain d=und Selektor s=aus DKIM-Signatureund rufen damit den zugehörigen öffentlichen DNS-Schlüssel ab.
Eine gültige Signatur zeigt, dass der signierte Inhalt unterwegs unverändert blieb und der Signierer den passenden privaten Schlüssel besaß. Für DMARC reicht das allein nicht: Die d=-Domain muss zusätzlich zur sichtbaren From-Domain ausgerichtet sein.
Ein realistisches WordPress-Beispiel
Nach einem Providerwechsel fügt ein Administrator den langen DKIM-Schlüssel ins DNS ein, verliert dabei aber Zeichen an einem Zeilenumbruch. Der Anbieter signiert bereits mit dem neuen Selektor. Empfänger finden deshalb einen beschädigten öffentlichen Schlüssel und melden dkim=fail.
Der DNS-Wert wird exakt nach Providerangabe neu veröffentlicht. Sobald alle autoritativen Server übereinstimmen, zeigt eine neue WordPress-Mail die erwarteten Werte für d=und s=sowie dkim=pass. Der alte Selektor bleibt während der dokumentierten Übergangszeit für verzögerte Nachrichten bestehen.
Warum es wichtig ist und wann es eingesetzt wird
DKIM schützt die Integrität signierter Inhalte und liefert empfangenden Systemen eine stabile Domainidentität für Reputation und DMARC-Auswertung. Fehlende, ungültige oder nicht ausgerichtete Signaturen verringern das Vertrauen, auch wenn die SMTP-Übertragung erfolgreich war.
Unterschiedliche WordPress-Ereignisse können verschiedene Provider, Versandstreams oder Absenderidentitäten nutzen. Eine erfolgreiche allgemeine Testmail beweist nicht, dass Passwort-Resets, Formulare, Bestellungen und Seriennachrichten mit derselben Domain signiert werden.
DKIM sollte für gepflegte produktive Versandwege eingesetzt werden, deren Provider eine eigene oder delegierte Signierdomain und einen nachvollziehbaren Selektorwechsel unterstützt.
Der einfache Weg für Einsteiger
- Notieren Sie Mailanbieter, sichtbare From-Domain, erwartete
d=-Domain, Selektor sowie Verantwortliche für DNS und Rotation. - Erzeugen oder übernehmen Sie den aktuellen DKIM-Eintrag des Providers. Veröffentlichen Sie TXT-Wert oder CNAME-Delegation exakt unter dem geforderten Selektornamen; niemals den privaten Schlüssel.
- Fragen Sie den Selektor auf den autoritativen DNS-Servern ab und stellen Sie sicher, dass überall der vorgesehene Wert erscheint.
- Aktivieren Sie die Signierung nach Provideranleitung. Senden Sie eine kontrollierte WordPress-Mail und lesen Sie
DKIM-SignaturesowieAuthentication-Resultsim Rohheader. - Bestätigen Sie
dkim=pass, die erwarteten Werte fürd=unds=sowie DMARC-Alignment. Prüfen Sie mehrere geschäftskritische WordPress-Ereignisse.
Der technische Weg
Kontrollieren Sie TXT-Aufteilung und Anführungszeichen beziehungsweise das Ziel einer CNAME-Delegation genau nach Provideranforderung. Berücksichtigen Sie Kanonisierung, signierte Header, optionale Body-Length-Tags, Schlüsselstärke, TTL und Änderungen durch Mailinglisten oder Sicherheitslösungen.
Unabhängige Dienste und Umgebungen sollten eigene Selektoren verwenden. Bei einer Rotation wird der neue öffentliche Schlüssel veröffentlicht, bevor der Signierer ihn nutzt. Der alte Selektor bleibt erhalten, bis die längste mögliche Nachrichtenverzögerung und DNS-Cachezeit abgelaufen sind. Vor dem Entfernen darf keine neue Mail mehr mit ihm signiert werden.
Bewahren Sie für jeden relevanten Versandweg ein vollständiges Headerbeispiel mit sichtbarer From-Domain, d=, s=, Algorithmus und Empfängerergebnis auf. Ein Pass für die Domain des Providers kann gültiges DKIM sein und trotzdem kein DMARC-Alignment herstellen.
Risiken, häufige Fehler, Backup und Rollback
Der private Signierschlüssel gehört niemals in WordPress, DNS, Logs, Tickets oder Bildschirmfotos. Entfernen Sie den bisherigen Selektor nicht vor dem Leeren der Queues, verwenden Sie keinen gemeinsamen Selektor für unabhängige Dienste und setzen Sie dkim=passnicht automatisch mit einer authentifizierten From-Domain gleich.
Sichern Sie vor einer Rotation die bisherigen Selektoreinträge, Provideroption, TTL und Aktivierungszeit. Stimmen autoritative DNS-Antworten nicht überein, schlagen Signaturen fehl, signiert eine unerwartete Domain oder bleiben wichtige Nachrichtentypen unsigniert, wechseln Sie zum letzten geprüften Selektor zurück und halten dessen öffentlichen Schlüssel verfügbar.
Wie AIOWS unterstützt:
AIOWS SMTP Manager
Der AIOWS SMTP Manager hält Versandweg über den Provider, Absenderidentität und kontrollierten Test auf WordPress-Seite bereit, während DKIM eingerichtet wird. An der zugestellten Testmail lässt sich anschließend ablesen, welcher Dienst mit welchen Werten für d=und s=signiert hat.
Wiederholen Sie die Prüfung mit repräsentativen, von WordPress erzeugten Nachrichten auf demselben Versandweg. Vergleichen Sie deren Rohheader mit der Providerkonfiguration und dem autoritativen Selektoreintrag. Zugangsdaten und private Schlüssel bleiben außerhalb von WordPress-Inhalten, Protokollen und Supportunterlagen.
AIOWS erzeugt keinen privaten DKIM-Schlüssel des Providers, veröffentlicht keinen DNS-Selektor und übernimmt weder Schlüsselrotation noch die Signierung externer Mailstreams. Das Modul kann auch kein DMARC-Alignment herstellen, wenn Signatur- und From-Domain nicht zusammenpassen. Dafür sind Provider und DNS-Verantwortliche zuständig.
Passende AIOWS-Artikel
- SPF für den WordPress-E-Mail-Versand einrichten
- DMARC für WordPress-E-Mails einrichten
- Absenderadresse in WordPress stimmt nicht: Lösungen
Fazit und empfohlener Weg
Der private Schlüssel bleibt beim Provider, der öffentliche Selektor wird exakt unter der vorgesehenen Domain veröffentlicht. Prüfen Sie d=, s=und Authentication-Resultsan echten WordPress-Mails und planen Sie bei Rotationen ausreichend Überlappung für DNS-Caches und verzögerte Nachrichten ein.
