Der OPENPGPKEY Resource Record stellt im Domain Name System den OpenPGP Public Key für eine E-Mail-Adresse bereit. Er ist eine Erweiterung des DANE-Protokolls. Abgesichert wird der Record durch DNSSEC. Die Validierung muss bestanden werden, um akzeptiert zu werden. Der Record-Type ist definiert im Standard RFC 7929, der sich jedoch im experimentellen Stadium befindet, und ist bei der IANA registriert unter der Nummer 61.
Bietet eine Alternative zu den Schlüsselservern, die in der Kritik stehen wegen Datenschutz und gefälschten Schlüsseln. Eine weitere Alternative ist Web Key Directory (WKD), die ein ähnliches Sicherheitsniveau versprechen wie OPENPGPKEY-Records. Allerdings ist WKD nicht standardisiert; es existiert nur ein RFC-Entwurf dafür.
Der Record wird in die DNS-Zone des Domain Parts der E-Mail-Adresse eingetragen. Dadurch hängt das Vertrauen des Schlüssels an dem Zoneninhaber und nicht an Usern. Als User hat man nicht die Möglichkeit, den Schlüssel in die Zone einzutragen, und kann nur den E-Mail-Provider bitten, den bereitgestellten Schlüssel einzutragen.
Um den Datenschutz zu erhöhen, wird der Local Part, im Standard auch „left-hand side“ genannt, der E-Mail-Adresse nicht im Klartext in der Zone abgelegt, sondern in SHA2-256-gehashter Form. Damit muss auf dem Client der exakte Local Part gehasht werden, um den passenden Record abzufragen.
Es können nur E-Mail-Adressen im Record abgebildet werden, bei denen der Domain Part der Adresse zur Zone der Domain passt. Der Local Part der Adresse wird gehasht.
Der Record darf nur einen Schlüssel enthalten. Wenn man mehrere Schlüssel angeben will, zum Beispiel während eines Schlüsselaustauschs, kann man einen zweiten Record anlegen. Enthalten sein müssen der Primärschlüssel inklusive Selbstsignierung und ein Verschlüsselungsschlüssel, falls der Primärschlüssel selbst nicht verschlüsseln kann. Der UID sollte auf die durch den Record referenzierte E-Mail-Adresse zeigen. Der Schlüssel sollte möglichst kleingehalten werden, aber falls vom Schlüsselinhaber erwünscht, können weitere Unterschlüssel, UIDs und Fremdsignierungen enthalten sein. Fremdsignierungen sind für das Web of Trust hilfreich oder notwendig.
_openpgpkey. Mit dem Unterstrich fällt die Domain unter den RFC 8552.OPENPGPKEY. Siehe auch RR-TypenDer Record, zusammengesetzt für security@example.com, sollte so aussehen:
5d2d3ceb7abe552344276d47d36a8175b7aeb250a9bf0bf00e850cd2._openpgpkey.example.com. IN OPENPGPKEY <base64 public key>