auth.dkim.strict_mode

DKIM Strict Alignment aktiviert

Was wir prüfen

Wir prüfen das t=-Flags-Tag des DKIM-Schlüsselrecords auf das s-Flag. Mit t=s verlangt RFC 6376 §3.6.1, dass die Signaturdomain (d=) exakt der Domain der Agent-Identität (i=) jeder mit diesem Schlüssel erzeugten Signatur entspricht.

Was dieser Befund bedeutet

Ein DKIM-Selektor dieser Domain setzt t=s: Signaturen mit diesem Schlüssel verifizieren nur, wenn d= und die Domain von i= exakt übereinstimmen. Ohne das Flag deckt eine Signatur für d=example.com auch Identitäten auf beliebigen Subdomains ab — i=@mail.example.com, i=@irgendwas.example.com — bequem, aber weiter gefasst, als viele Domains je brauchen.

Das ist eine informative Notiz zur Härtung, kein Problem. Die Note ändert sich dadurch nicht.

Warum es wichtig ist

• Schließt einen Subdomain-Vektor. Ohne striktes Alignment erzeugt jeder, der eine Signatur unter dem Eltern-Schlüssel bekommt — ein falsch konfigurierter interner Dienst, ein kompromittierter Subdomain-Versender — Mail, die für Identitäten im gesamten Domain-Baum verifiziert. t=s bindet den Schlüssel an seine exakte Domain.
• Verteidigung in der Tiefe, kein Ersatz. DMARCs adkim=s erzwingt ein ähnliches Alignment auf Policy-Ebene; t=s erzwingt es am Schlüssel selbst — es greift also auch bei Empfängern, die DKIM ohne DMARC prüfen.

Wann Strict Mode falsch für dich ist

Wenn du legitim Mail für Subdomains mit dem Schlüssel der Hauptdomain signierst (d=example.com mit i=@news.example.com), brechen diese Signaturen mit t=s. In dem Fall: entweder das Flag weglassen oder jeder Subdomain einen eigenen Schlüssel samt Selektor geben — die zweite Option behält die Härtung.

So setzt du es

Ergänze s im t=-Tag des DKIM-Schlüsselrecords:

v=DKIM1; k=rsa; t=s; p=MIIBIjANBgkq...

Flags werden mit Doppelpunkt kombiniert: ein Schlüssel, der noch im Test ist und zugleich strikt sein soll, trägt t=y:s.