DKIM Syntax Error

Janos

Hi,

wenn ich auf mxtoolbox.com DKIM lookup teste, erhalte ich folgende Fehler:

Tag does not allow duplicates, The value is not in the right format
Status Problem DKIM Syntax Check The record is not valid

Das Abfrage Format ist “domain.net:dkim”

Ich habe meine Domains bei Hetzner.
Im neuen DNS Modul bei Hetzner erstellt man unter eMail Sicherheit die DMARC und DKIM Einträge.

Die Eingabemaske gibt Selektor, hostname und Pubkey vor.

Was bei meinen Domains im Ergebnis so ausieht:
dkim._domainkey.domain.net + pubkey

Den Pubkey habe ich aus dem Admin/e-Mail/Konfiguration/Domains Menü aus der jeweiligen Domain kopiert.
Der DNS check im Mailcow Domain Panel zeigt einfach ein grünes Häkchen bei DKIM.

Was ist hier das Problem?

Janos

curiosity Also deinedomain.net:dkim das bekommst du das Ergebnis des tests.

Janos Das Abfrage Format ist “domain.net:dkim”

was ich geschrieben habe, aber ok…

curiosity

Hi, du must bei testen des DKIM bei der Toolbox den dkim mit angeben, so wie in den Optionen angeben. 😉

Also deinedomain.net:dkim das bekommst du das Ergebnis des tests.

curiosity

Janos
Oh sorry, dann hab ich das wohl überlesen gehabt. Hatte das bei mir ausprobiert und das Format vergessen gehabt zu beachten und daher ein Fehler bekommen., daher hatte ich das falsche angenommen. Aber wer richtig lesen kann, ist stets im Vorteil. 😉

Janos

curiosity Hatte das bei mir ausprobiert und das Format vergessen gehabt zu beachten

Also funktioniert das bei dir genauso und dein Record ist valid?
Habe ich irgendwas überlesen und der Key muss in einer bestimmen Form eingegeben werden?

curiosity

Janos

Ja, das funktioniert. Sieht auch genauso aus wie bei DocFraggle.

Nicht wundern, sieht bei mir anders aus obwohl ich auch bei Hetzner bin. Ich verwalte meine Domain DNS Einträge bei desec.io. Da ich DNSSEC nutzen wollte und es leider bei Hetzner noch nicht gibt.

Aber das tut ja jetzt nichts zur Sache. Das Prinzip bleibt ja bei beiden gleich. Wenn du das genauso wie in unseren Screenshot angegeben, eingetragen hast, dann sollte das auch funktionieren.

Bedenke aber, das Änderungen an den DNS Einstellungen je nach DNS Server dauern kann, bis jeder DNS Server die Änderungen an deiner Domain erhalten hat.

DocFraggle

Also bei mir funktioniert es ebenfalls via domain.de:dkim

Benutze allerdings die alte DNS Oberfläche, evtl hier für Dich zum Vergleich wie das bei mir aussieht

Janos

DocFraggle

Beim Test mit appmaildev.com bekomme ich als Ergebnis

DKIM-Result: permerror (bad key)

Wahrscheinlich weil ich nachträglich den Hostnamen und HELO Namen geändert habe.
Ich habe die alten DKIMs jetzt gelöscht und neue erstellt, später noch mal testen.

edit:
Wie ist das eigendlich mit dem OS Hostname.
Ich habe hier in einem Thread gelesen, der hostnamen sollte nicht mit dem MX bzw. dem HELO Namen übereinstimmen.
Ich dachte immer, dass es genau so gemacht werden sollte…?

curiosity

Ah okay, wieder etwas dazu gelernt. 😉

@DocFraggle Was ist mit dieser Frage?

Janos edit:
Wie ist das eigendlich mit dem OS Hostname.
Ich habe hier in einem Thread gelesen, der hostnamen sollte nicht mit dem MX bzw. dem HELO Namen übereinstimmen.
Ich dachte immer, dass es genau so gemacht werden sollte…?

Bei mir ist Hostname mit dem MX auch identisch. Bisher bin ich auch immer davon ausgegangen das es so sein muss. Hat das irgendwelche Auswirkungen?

Janos

curiosity

Bei mir sind die Anführungszeichen nur am Anfang und Ende
“v=DKIM1;k=rsa;t=s;s=email;p=MIIBIjAN…..”

Bei @DocFraggle sieht das so aus
“v=DKIM1;k=rsa;t=s;s=email;” “p=MIIBIjAN……”

Also nicht einfach nur copy and paste, sondern noch den Key mit “…” formatieren?

DocFraggle

Janos Das wird so angezeigt weil man im DNS Zonen-File eine Begrenzung für einen TXT Eintrag von 255 Zeichen hat. Der DKIM Key hat aber zwischen 300 und 400 Zeichen. DNS erlaube es durch diese Formatierung mehr als 255 Zeichen zu nutzen.

Das schaut bei Euch in Endeffekt genauso aus, wird aber wohl von eurem DNS Tool dann wieder als ganze Zeile angezeigt

curiosity

Bei mir ist auch alles in einer Zeile zwischen den “ ”. Sollte eigentlich keinen Unterschied machen.

Janos

curiosity Bisher bin ich auch immer davon ausgegangen das es so sein muss. Hat das irgendwelche Auswirkungen?

@esackbauer hat das in einem Thread geschrieben, warum er der Meinung ist?
Ich wollte fragen, aber der Thread war schon geschlossen.

Keine Änderung mit den neuen DKIM Keys

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=meine-domain.com;

s=dkim; t=1760897822; h=from:subject:date:message-id:to:mime-version:content-type;

bh=IFOdtgdCywRihLOFi011a2jlEmNVimkAcCRzwXcF0L0=;

b=tNMLQvuR+XoAlENj7I0ILKe7W7NadIKq8VkL6kmSy07v2kqdIN2CKLUvzWSzhaxKNJMTpT

Lw06dIrFAgksp9EzC3tRKdxB6yd+xRv28mg5g3kkXJNZG/MC2PcWSOboAj2Xk9p+L61RrU

/rtZhhXd672iCaCbYajaIcPndd3UZQGxySobYqKM58pxMIe8zVfbk3sbWBK9MachCgBACy

HtRzENqHNx+b5zsjPISuUbwOhbMS34yWQUusR6DKwV2LFKDtCSHQCDPD2fNxw0EXSnwmwi

dkMLXu3J/a0dTb8UsATPYv8Ovh3cbpmid8EM5g3jSS3+go0dcuLnnPS2Wq4Kxw==

Signed-by: info@meine-domain.com

Expected-Body-Hash: IFOdtgdCywRihLOFi011a2jlEmNVimkAcCRzwXcF0L0=

Current Utc timestamp: 2025-10-19T18:17:05.515; Signature timestamp: 2025-10-19T18:17:02.000

Canonicalized header: from:“Mir” info@meine-domain.com

subject😃KIM test

date:Sun, 19 Oct 2025 20:17:02 +0200

message-id:b2b999f9-5446-2b0b-6281-64ee5fb43a04@meine-domain.com

to:test-8333bf73@appmaildev.com

mime-version:1.0

content-type:multipart/alternative; boundary=“—-==-OpenGroupware_org_NGMime-68-1760897822.269290-0——”

Public-Key: v=DKIM1; p=v=DKIM1;k=rsa;t=s;s=email;p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA0VucKr2mk0pQv8CUxzTuTI8Fa2Z4AN1MInfz3oThyNJJljJF1Z4YFl9WWMsO3eN7onXsLPZTmSQlcuJUgeu6zd3Pg8XDniE0PFYHwFDjkLOSBJEXBpi3bpYdKspPZ21VKBeY5OwKe/UBYZQrE2KRNiKGjKIqNcuoRIsnlshuVHpbIZm0O1VrexNjzSJ6Z/tpL8l6DIPVIyy6MBtqVQ8h+qx4XAwvYVos8UE4nY0utAOjDC0LkyWTSZgB6YBjPEdpN4wcGQX9NZc7tUq6GNYxrHQEah1ZeWaCwc2o/ag9Mmo1vmfs00BsT0vKozJwaMDNxpdiCXYIWEl9r5MepUH/bwIDAQAB;

DKIM-Result: permerror (bad key)

Der Post ist mal gründlich schiefgegangen und ich kann ich nicht editieren, sorry!

Janos

Für dnschecker.org sind die DKIM Einträge OK “This seems to be a valid DKIM Record.”
Aber was ist mit “We have detected that the key length you use is: undefined-bit.”?
Laut Mailcow GUI sind das 2048-bit keys

curiosity

Janos

Ja, das ist richtig, der key ist 2048-bit.

https://dnschecker.org/dkim-record-checker.php?query=meinedomain.de&selector=dkim Hat mir das auch eben bestätigt.

Janos

curiosity

Das war jetzt eine schwere Geburt, das ist mir fast schon peinlich…
Keine Ahnung wie das bei anderen Providern ist, war jetzt mein erstes Mal, das ich mit DKIM und DMARC zu tun hatte.
Die Lösung ist ganz einfach, bei Hetzner muss man nur den blanken Pubkey eintragen.

Also Pubkey ohne -> “v=DKIM1; p=v=DKIM1;k=rsa;t=s;s=email;p=”

curiosity

Janos v=DKIM1; p=v=DKIM1;k=rsa;t=s;s=email;p=

Verschrieben oder stand das so wirklich drin? … p=v=DKIM1 …

Janos

curiosity Verschrieben oder stand das so wirklich drin? … p=v=DKIM1 …

Das macht die Hetzner Console, wenn du den Pubkey inklusive “v=DKIM1;k=rsa;t=s;s=email;p=” über deren DNS Verwaltung einträgst.

curiosity

Gibt du die mit den "" Anführungszeichen ein oder ohne?

Habe das gerade nochmal bei der neuen DNS Verwaltung bei Hetzner und der alten console ausprobiert. Dort trägt er die Daten korrekt ein. Also ganz Normal Copy & Paste. Die Werte stehen somit auch ganz normal in der Zone drin.

Hast du schon mal selbst den DKIM in der Linux Konsole bei DNS abgefragt?

dig TXT dkim._domainkey.deinedomain.de

Janos

curiosity Gibt du die mit den "" Anführungszeichen ein oder ohne?

Am Anfang habe einfach Copy&Paste wie es bei Mailcow im Feld DKIM steht, also mit den Tags und ohne Ausführungszeichen, bei Hetzner in der Console in das Feld “Value” eingefügt.
Beim Test über mxtoolbox, habe ich damit “Key not valid” erhalten.

Aktuell habe ich nur den Pubkey ohne Tags eingetragen und mxtoolbox und dnschecker sind damit zufrieden.
Was noch nicht funktioniert ist der Test bei “appmaildev.com/de/domainkey”, aber das wird vermutlich daran liegen, dass die DNS Einträge noch nicht überall aktuell sind.

So sieht das Ergebnis jetzt bei mxtoolbox aus, ist das jetzt so optimal oder fehlen Tags?