Oh nein! Noch mehr zu Mailservern: Nochmal DKIM

class: center, middle

![img33r](postbote1.webp)
# Oh nein! Noch mehr zu Mailservern
## Nochmal DKIM
### Hauke Goos-Habermann
#### https://goos-habermann.de

---

### Über mich

- Entwickler des <a href="https://m23.sourceforge.io">Softwareverteilungssystems m23</a>

- Organisator der <a href="https://kielux.de">Kieler Open Source und Linux Tage</a>

- <a href="https://goos-habermann.de/">Dienstleister zu m23, Linux und Freier Software</a>

- Softwareentwicklung (PHP, BASH, C/C++, JS, Python und was sonst so gebraucht wird...)
  - Administration
  - Schulungen
  - Support
  - Beratung
  - quasi **alles**, *was mit Linux zu tun hat*

- Wöchentlicher Livestream *"Jean und Hauke Show"* auf https://www.youtube.com/c/LinuxGuides

- Community-Video-Serie *"Nicht der Weisheit letzter Schluß"* auf <a href="https://tube.tchncs.de/c/ndwls">tube.tchncs.de</a> und <a href="https://www.youtube.com/channel/UCNDn2bb2AHVCliErAwA-45g">YouTube</a> mit **beruflichen** oder **privaten Projekten**

- Kümmert sich auch um Mailserver :-)
---

### OpenDKIM testen
![img33r](postbote2.webp)

Um die DKIM-Signierung von ausgehenden Mails kümmert sich Open<a href="https://de.wikipedia.org/wiki/DomainKeys_Identified_Mail">DKIM</a>, welches wir mit

```bash
opendkim-testkey -d [Domain] -s [Selektor]
```

auf Funktionsfähigkeit prüfen können.

***default*** ist der oft genutzte **Selektor**, der zusammen mit ***"_domainkey."*** und dem **Domain-Namen** angibt, unter welchem DNS-Eintrag der öffentliche Teil des DKIM-Schlüssels gefunden werden kann.

Daraus ergibt sich z.B. ***default._domainkey.example.com***
---

### OpenDKIM: Fehlerausgabe aktivieren
![img33r](postbote3.webp)

OpenDKIM ist in der Standardeinstellung nicht besonders gesprächig, kann allerdings so konfiguriert werden, daß Fehler beim Signieren von Mails (vor dem Senden) protokolliert werden.

Hierzu die Datei ***/etc/opendkim.conf*** als root editieren und folgende Werte setzen:

<pre>
Syslog                  yes
SyslogSuccess           yes
LogWhy                  yes
</pre>

Anschließend OpenDKIM und <a href="https://de.wikipedia.org/wiki/Postfix_(Mail_Transfer_Agent)">Postfix</a> neustarten mit:

```bash
systemctl restart opendkim postfix
```
---

### OpenDKIM: Fehlerausgabe anschauen

Mit

```bash
grep -i dkim /var/log/mail.log
```

können wir nun nach Fehlern wie folgenden suchen:

```bash
2025-08-15... mail opendkim[48342]: ABC: localhost [127.0.0.1] not internal
2025-08-15... mail opendkim[48342]: ABC: not authenticated
2025-08-15... mail opendkim[48342]: ABC: no signature data
```

***not authenticated*** in Kombination mit ***localhost*** bedeutet, daß direkt vom Server aus versucht wurde, eine Mail zu Signieren und zu Senden, was aber fehlgeschlagen ist (***no signature data***).

Dies kommt vor, wenn ein Systemkonto (z.B. *www-data*), das nicht am Mailserver angemeldet ist, eine Mail verschicken will.
---

### OpenDKIM: Lösung
![img33r](postbote4.webp)

Um dies zu erlauben, muß die Datei ***/etc/opendkim/TrustedHosts*** einen anderen Inhalt haben, als im 1. <a href="https://goos-habermann.de/weisheit-10158-Eigenen-Mailserver-konfigurieren-Googles-und-Yahoos-DKIM-Anforderungen-2024">DKIM-Video</a> beschrieben.

Die freigeschalteten IPs müssen in einzelnen Zeilen ohne angehängtes ***/Netmaskbits*** aufgelistet werden.

Zum **Überscheiben** von TrustedHosts könnt Ihr folgendes machen:

```bash
(echo ::1
echo 127.0.0.1
for i in $(hostname -I)
do
	echo $i
done) > /etc/opendkim/TrustedHosts
systemctl restart opendkim
```

**Hinweis:** Korrigiert auch in <a href="https://goos-habermann.de/re/24/Und_nochmal_Mailserver/#7">CI_installDKIM</a> aus den Dodger-Tools.
---

### OpenDKIM: Richtige Ausgabe
![img33r](postbote5.webp)

Nach der Korrektur sollte es dann ähnlich wie hier aussehen:

<code>
2025-08-15... mail opendkim[48755]: OpenDKIM Filter v2.11.0 starting
</code>

<code>
2025-08-15... mail opendkim[48755]: ABCDEF01235: DKIM-Signature field added (s=default, d=tüde.lü)
</code>

<code>
2025-08-15... mail postfix/smtp[48749]: ABCDEF01235: to=<bla.fasel>, relay=tüde.lü[1.2.3.4]:25, delay=1.5, delays=0.03/0/1.2/0.33, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as BBCDEF01235)
</code>
---

class: center, middle
### Informationen zu mir und meinen Dienstleistungen, m23, ...
### https://goos-habermann.de