auth.dkim.revoked
DKIM-Schlüssel widerrufen
Was wir prüfen
Wir prüfen die DKIM-TXT-Einträge auf ein leeres p=-Tag. In DKIM trägt das p=-Tag den base64-Public-Key; RFC 6376 definiert einen leeren p=-Wert als ausdrückliches Signal, dass der Schlüssel widerrufen ist.
Was dieses Ergebnis bedeutet
Ein oder mehrere DKIM-Selektoren dieser Domain veröffentlichen einen Eintrag mit p= und nichts dahinter. Das ist kein defekter Eintrag — es ist ein bewusster Widerruf. Ein widerrufener Schlüssel kann keine Signaturen mehr validieren, also scheitert jede Mail, die noch mit dem passenden privaten Schlüssel signiert wird, an DKIM.
Warum das wichtig ist
- Signaturen scheitern. Nutzt dein Signierer noch den privaten Schlüssel, dessen öffentliches Gegenstück du widerrufen hast, scheitert jede signierte Nachricht beim Empfänger an DKIM.
- Meist gewollt, manchmal veraltet. Widerruf ist der richtige Weg, einen kompromittierten oder ausrotierten Schlüssel stillzulegen. Zum Problem wird es, wenn ein Selektor widerrufen ist, der Mailfluss aber noch darauf zeigt.
- DMARC-Auswirkung. Eine scheiternde DKIM-Signatur bedeutet kein DKIM-Alignment. Fehlt auch das SPF-Alignment, scheitert DMARC.
So behebst du das
Ist der Widerruf gewollt und der Schlüssel stillgelegt, stell sicher, dass nichts mehr damit signiert. Richte deinen Signierer auf den aktuellen, gültigen Selektor und prüfe, dass ausgehende Mail verifiziert.
War der Widerruf ein Versehen, veröffentliche den öffentlichen Schlüssel für diesen Selektor erneut:
selector1._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A..."Räum tote Selektoren auf. Ist ein widerrufener Selektor wirklich ungenutzt, kannst du den Eintrag ganz entfernen, statt das leere
p=stehen zu lassen.
So fließt es in die Bewertung ein
Ein widerrufener DKIM-Schlüssel kostet 20 Punkte in der Authentifizierungskategorie. Das vollständige Scoring-Modell steht in der Bewertungsmethodik.
Evidenzbeispiel
$ dig +short TXT selector1._domainkey.example.com
"v=DKIM1; p="
^ leeres p=-Tag → Schlüssel widerrufen (RFC 6376)