Was der Body-Hash ist
Beim Signieren berechnet der sendende Server einen Hash über den Nachrichtentext und legt ihn als bh=-Tag in die DKIM-Signature. Der Empfänger berechnet denselben Hash über den empfangenen Text. Weichen die Werte ab, wurde der Inhalt unterwegs verändert — und die Signatur ist wertlos, unabhängig davon, ob der Schlüssel stimmt.
Zu unterscheiden von „no key for signature“: dort scheitert es am DNS, hier am Inhalt.
Die üblichen Verursacher
- Mailinglisten. Der Klassiker. Die Liste hängt eine Fußzeile an oder schreibt
[Listenname]in den Betreff — beides zerstört die Signatur zuverlässig. Dafür gibt es ARC, das den ursprünglichen Prüfstand über die Weiterleitung hinweg bezeugt. - Gateways und Security-Appliances. Virenscanner, Disclaimer-Anhänger und DLP-Systeme im Ausgang schreiben Text um. Wenn ein solches Gerät nach dem Signieren eingreift, ist die Signatur hin. Die Reihenfolge muss umgekehrt sein: erst ändern, dann signieren.
- Zeilenumbrüche und Encoding. Ein Server, der Zeilen neu umbricht oder das Transfer-Encoding ändert, verändert den Text im Sinne des Hashes — auch wenn er für den Leser gleich aussieht.
l=-Tag. Signiert die Länge nur teilweise, was Anhängsel erlaubt, aber eigene Probleme schafft. Besser nicht verwenden.- Doppelte Signatur. Signieren zwei Systeme nacheinander, kann die erste Signatur durch die Änderungen der zweiten ungültig werden.
Eingrenzen
Die entscheidende Frage lautet: Tritt der Fehler immer auf oder nur auf bestimmten Wegen? Kommt eine direkt zugestellte Mail sauber an und nur die über die Mailingliste nicht, liegt es an der Liste — dein Setup ist in Ordnung. Schlägt schon die direkte Zustellung fehl, liegt der Verursacher in deinem eigenen Ausgang.
Dafür schickst du dieselbe Nachricht einmal direkt und einmal über den verdächtigen Weg an hello@analyzemy.email und vergleichst die beiden Reports: Signaturstatus, signierte Header und die ARC-Kette stehen dort nebeneinander.