auth.dkim.unparseable_key
DKIM-Schlüssel nicht lesbar
Was wir prüfen
Wir dekodieren die Public-Key-Daten im p=-Tag des DKIM-TXT-Eintrags. Lässt sich der Wert nicht als gültiger base64-Schlüssel dekodieren, können Prüfer keine Signaturen dagegen prüfen und die Schlüsselstärke ist nicht bewertbar.
Was dieses Ergebnis bedeutet
Ein DKIM-Eintrag existiert, aber sein p=-Wert parst nicht als gültiger öffentlicher Schlüssel. Das ist etwas anderes als ein fehlender Schlüssel (nichts veröffentlicht) und als ein widerrufener Schlüssel (ein bewusst leeres p=) — hier ist etwas veröffentlicht, aber beschädigt oder fehlerhaft.
Häufigste Ursache: ein Schlüssel, der beim Einfügen ins DNS abgeschnitten oder verstümmelt wurde. Ein 2048-Bit-Schlüssel überschreitet 255 Zeichen und muss über aneinandergehängte Zeichenketten aufgeteilt werden — ein Control-Panel, das diese Aufteilung falsch handhabt, hinterlässt einen kaputten Wert.
Warum das wichtig ist
- Signaturen verifizieren nicht. Ein Schlüssel, der nicht dekodiert, ist zur Prüfung so gut wie kein Schlüssel — damit signierte Mail scheitert beim Empfänger an DKIM.
- Verdeckt den wahren Zustand. Weil der Eintrag vorhanden wirkt, wird das Problem leicht übersehen; erst das Dekodieren des Werts zeigt, dass er kaputt ist.
- DMARC-Auswirkung. Keine prüfbare DKIM-Signatur bedeutet kein DKIM-Alignment. Fehlt auch das SPF-Alignment, scheitert DMARC.
So behebst du das
Veröffentliche den Schlüssel sauber neu. Kopiere den vollständigen öffentlichen Schlüssel aus deinem Signierer oder Anbieter und füge ihn exakt ein — das DNS-Panel soll lange Werte korrekt in aneinandergehängte Zeichenketten aufteilen:
selector1._domainkey.example.com. IN TXT ( "v=DKIM1; k=rsa; " "p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..." "...Rest des base64-Schlüssels..." )Prüfe, dass er dekodiert. Bestätige nach dem Veröffentlichen, dass der
p=-Wert sich zu einem gültigen Schlüssel zusammensetzt und die Signatur einer Testnachricht verifiziert.
So fließt es in die Bewertung ein
Ein nicht lesbarer DKIM-Schlüssel kostet 10 Punkte in der Authentifizierungskategorie. Das vollständige Scoring-Modell steht in der Bewertungsmethodik.
Evidenzbeispiel
$ dig +short TXT selector1._domainkey.example.com | tr -d '"'
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEF ← abgeschnitten: base64 dekodiert nicht zu einem Schlüssel