Amazon SES DKIM-Verifizierung „Pending“ oder „Failed“: so behebst du es

Was das bedeutet

Wenn du eine Domain mit Easy DKIM zu Amazon SES hinzufügst, gibt dir SES drei CNAME-Einträge. SES sucht sie in deinem öffentlichen DNS. Bis es alle drei findet, ist die Domain-Identität nicht verifiziert, und SES signiert deine E-Mails nicht mit DKIM (DomainKeys Identified Mail, eine digitale Signatur, die beweist, dass die Nachricht von deiner Domain kommt). Der DKIM-Status kann sein:

• PENDING: SES hat die Einträge noch nicht gefunden.
• SUCCESS: Die Einträge wurden gefunden; die Signatur ist aktiv.
• FAILED: SES hat aufgegeben, meist weil es die Einträge nicht gefunden hat.
• TEMPORARY_FAILURE: Ein vorübergehendes DNS-Problem verhindert die Prüfung.
• NOT_STARTED: Die Verifizierung wurde nie gestartet.

SES sucht bis zu 72 Stunden nach den Einträgen. Danach wechselt eine Domain, die immer noch nicht gefunden wurde, auf Failed.

Warum das passiert

• Doppelter Domainname. Viele DNS-Panels hängen deine Domain automatisch an. Fügst du abc123._domainkey.yourdomain.com als Namen ein, wird der echte Eintrag zu abc123._domainkey.yourdomain.com.yourdomain.com. Siehe DNS-Eintrag unter dem falschen Namen angelegt.
• Einträge als TXT statt als CNAME angelegt, mit abgeschnittenem Wert oder ohne die Endung .dkim.amazonses.com.
• Nur einer oder zwei der drei Einträge wurden hinzugefügt.
• Proxy aktiviert. Bei Cloudflare wird ein über den Proxy geleiteter CNAME (orange Wolke) nicht als CNAME ausgeliefert; siehe Cloudflare-Proxy-Einträge legen E-Mail lahm.
• Falsche DNS-Zone. Du hast die Zone bei deinem Registrar bearbeitet, die Domain nutzt aber andere Nameserver (dein Hoster, Cloudflare, Route 53...).
• Andere Region oder anderes Konto. DKIM wird pro Region und pro AWS-Konto eingerichtet. Einträge für eine Region verifizieren die Identität in einer anderen nicht, außer du nutzt die Funktion, die Schlüssel zwischen Regionen repliziert.

So prüfst du es

Öffne in der SES-Konsole Identities, wähle deine Domain und sieh dir den DKIM-Bereich an: Dort stehen die drei genauen Einträge. Sie sehen so aus (die Tokens sind nur für dich):

Name:  abc123token1._domainkey.yourdomain.com
Type:  CNAME
Value: abc123token1.dkim.amazonses.com

Frage jeden Namen im Terminal ab. Eine korrekte Antwort liefert das Ziel dkim.amazonses.com:

dig +short CNAME abc123token1._domainkey.yourdomain.com
abc123token1.dkim.amazonses.com.

dig +short NS yourdomain.com

Der zweite Befehl zeigt, welche Nameserver deine Zone wirklich hosten. Du kannst auch den Domain-Scanner von Delivmail auf deine Domain anwenden, um die DNS-Einträge zu sehen, die die ganze Welt sieht. In der CLI zeigt aws sesv2 get-email-identity --email-identity yourdomain.com den Wert DkimAttributes.Status und die erwarteten Tokens.

So behebst du es

1. Kopiere die drei Einträge exakt. Nutze die Kopier-Buttons oder Download .csv record set. Hängt dein Panel die Domain selbst an, gib als Namen nur abc123token1._domainkey ein.
2. Verwende den Typ CNAME und stelle die Einträge bei Cloudflare auf DNS only.
3. Bearbeite die richtige Zone: die, die von den Nameservern aus dig NS ausgeliefert wird.
4. Liegt die Domain bei Route 53 im selben AWS-Konto, kann SES die Einträge für dich veröffentlichen.
5. Warte. Die meisten Anbieter veröffentlichen innerhalb von Minuten, aber SES braucht unter Umständen bis zu 72 Stunden, um es zu bemerken. Eine niedrigere TTL beschleunigt die erste Prüfung eines brandneuen Eintrags nicht. Siehe DNS-Propagation und TTL.
6. Steht der Status auf Failed, korrigiere zuerst die Einträge und starte dann die Verifizierung neu. AWS empfiehlt, es in der Konsole erneut zu versuchen, sobald die Einträge auflösbar sind. Ein gängiger Weg ist, die DKIM-Signatur für die Identität zu deaktivieren und wieder zu aktivieren oder die Identität zu löschen und neu anzulegen (dabei entstehen neue Tokens, du musst also die neuen Einträge veröffentlichen).

Nutzt du BYODKIM (deinen eigenen Schlüssel) statt Easy DKIM, sucht SES einen TXT-Eintrag unter selector._domainkey.yourdomain.com. Der private Schlüssel muss ein RSA-Schlüssel mit 1024 oder 2048 Bit sein, base64-kodiert, und der öffentliche Schlüssel im DNS darf keinen Header, keinen Footer und keine Zeilenumbrüche enthalten.

Sobald DKIM funktioniert, denk auch an die Bounce-Adresse: Standardmäßig nutzt SES eine MAIL-FROM-Domain unter amazonses.com, daher ist SPF nicht auf deine Domain ausgerichtet. Siehe eigene MAIL-FROM-Domain für das DMARC-Alignment.

Prüfe, ob es behoben ist

Die Konsole sollte die Identität als Verified und DKIM als Successful anzeigen. Sende dann über SES eine Nachricht an deine einmalige Adresse auf der Startseite von Delivmail. Der Bericht sollte eine gültige DKIM-Signatur mit d=yourdomain.com zeigen. Du siehst außerdem eine zweite Signatur mit d=amazonses.com; SES fügt sie absichtlich hinzu, und sie schadet nicht. Bekommst du eine E-Mail von SES, dass deine DKIM-Einrichtung widerrufen wird, wurden die Einträge entfernt: Stell sie vor der Frist in dieser E-Mail wieder her.