DKIM fail aufgrund von Leerzeichen im DKIM Selector

[Simon1511]

Hallo,

ich bin beim aktivieren von DKIM zufällig über diesen kuriosen Fehler gestolpert. Ich habe es schon mit der aktuellsten Version von PMG 8 und auch PMG 9 probiert, habe aber bei beiden das gleiche Problem.

Ich habe DKIM Signing in PMG aktiviert, die Config sieht wie folgt aus. Ob die Signing Domain Source auf Envelope oder Header steht und ob "Sign all Outgoing Mail" an ist oder nicht macht bei meinem Problem keinen Unterschied.


Wenn ich nun eine Test-Mail an z.B. MXToolbox schicke, bekomme ich aber einen DKIM fail. Die DKIM-Signatur ist aber definitiv im Header enthalten. Hier ein Auszug aus einer Mail, die von PMG signiert wurde. Der DKIM Selector ist "pmg":



Das gleiche Problem tritt mit allen meinen Domains auf, wenn PMG diese signiert. Wenn ich DKIM signing stattdessen auf dem Mailserver direkt aktiviere und in PMG deaktiviere (die Mails werden weiterhin durch PMG versendet) werden die Mails korrekt signiert und sind auch "valid".

So wie ich das sehe scheint das Problem bei PMG zu sein, dass ein Leerzeichen in den DKIM-Selector hinzugefügt wird. MxToolBox sagt hier, dass die Signatur "dkim:meinedomain.de: pmg" (Leerzeichen!) nicht valide ist.

In PMG habe ich doppelt und dreifach geprüft, ob nicht irgendwo ein Leerzeichen drinsteckt, aber weder in der GUI noch in /etc/pmg/pmg.conf ist hier ein Leerzeichen zu finden. Einfach einen anderen Selector anzulegen hat das Problem übrigens auch nicht gelöst.

Meine Domain habe ich bei Cloudflare. Der öffentliche DNS-Eintrag ist auch definitiv korrekt (mit dem DKIM Selector des Mailservers klappt es ja auch):



Ich gehe stark davon aus dass es am Leerzeichen im Selector liegt. Hat jemand eine Ahnung, warum das passiert und wie man das beheben kann?

 

[Stoiko Ivanov]

So wie ich das sehe scheint das Problem bei PMG zu sein, dass ein Leerzeichen in den DKIM-Selector hinzugefügt wird.

Ich sehe das Leerzeichen jetzt in den screenshots nicht- wird das von MXToolbox so reported, wenn eine Mail hingeschickt wird? oder ist das der DKIM lookup und dort wird domain und selector reingepasted? (dann würde ich nochmal sicherstellen, dass beim pasten nicht das Leerzeichen dazukommt...)

Im Prinzip funktioniert DKIM-Signing mit PMG - sonst hätten wir einiges mehr an reports, dass es Probleme gibt - potentiell ist das format in dem der public DNS-record angezeigt wird etwas schwierig in alle DNS-provider einzutragen (manche wollen ihn aufgesplittet, manche verlangen einen string - und haben Probleme die Anführungszeichen selbst zu entfernen ...) - laesst sich alles nur debuggen wenn die domain und der selector bekannt sind.

Bitte lieber text-sachen in Code-tags pasten anstatt als Bilder.

 

[Simon1511]

wird das von MXToolbox so reported, wenn eine Mail hingeschickt wird?

Ja genau, das ist das Resultat wenn ich eine Mail an MxToolBox sende.

Wenn ich bspw. an meine Gmail Adresse sende und dann die Header analysieren lasse komme ich aber aufs gleiche Resultat. Hier sieht man auch das Leerzeichen (sorry, hatte vorher wohl den falschen Screenshot erwischt^^).

Das ist die DKIM-Signatur die an der Mail hängt:

v=1; a=rsa-sha256; c=relaxed/relaxed; d=meinedomain.de; h= cc:content-transfer-encoding:content-type:content-type:date:from :from:message-id:mime-version:reply-to:subject:subject:to:to; s= pmg; bh=47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU=; b=e3Y8CTKa M6CNQIf6DdxM2C7T2u5q+3xOgrJ5DWyZaJp0PiyO7kbmr81YP4AsSf6FVbeKdzCB YjGzmn3oS5n1fXakLFH+NcetJxiMTzD7ekXCiTPYP3OYSlrzExyIDR+1tiObMNuE GWKpJjhx0+uaW+SdDRy0HpUW3DuYJ01FzxE2kH1d3SnseclGxAsOh1/MQF7cUUUr lj/UGrwgYEk31oB2YpaXr8c+F5Wk8ytlYPiAfuw/nhQ67VMQS1eullwNNhKUhDKc agLU1jxpMmtrqh1hzJE3hRb4CdMuCqtFFMFGv29T+X+hPnkXZIWLQmu3c14eYPHk /zSVJbO3ku3fQQ==

Im Prinzip funktioniert DKIM-Signing mit PMG - sonst hätten wir einiges mehr an reports, dass es Probleme gibt - potentiell ist das format in dem der public DNS-record angezeigt wird etwas schwierig in alle DNS-provider einzutragen (manche wollen ihn aufgesplittet, manche verlangen einen string - und haben Probleme die Anführungszeichen selbst zu entfernen ...) - laesst sich alles nur debuggen wenn die domain und der selector bekannt sind.

Ja, ich meine mich auch zu erinnern das ganze vor einiger Zeit schonmal aktiviert zu haben und da hatte es auch funktioniert. Bzgl. DNS: Bei Cloudflare ist das tendenziell egal soweit ich das beurteilen kann - sowohl mit Anführungszeichen als auch ohne klappt es. Cloudflare formatiert den Eintrag sowieso automatisch selber um. Ich habe es sowohl mit den Anführungszeichen von PMG als auch ohne probiert, daran lag es aber leider nicht.