[快速解答]
DKIM （域名密钥识别邮件）为每封电子邮件添加加密签名。发送服务器使用私钥进行签名，接收者使用DNS中的公共密钥进行验证（位于selector._domainkey.yourdomain.com ）。它证明消息来自您的域并且未被更改（ RFC 6376 ）。
主要事实
- ›公钥作为TXT （或CNAME ）记录发布在 <selector> 处。 _domainkey .<域>。
- ›使用至少 2048 位的 RSA 密钥； 1024 位密钥被认为是弱密钥。
- ›一个域可以有多个选择器，每个发送服务一个。
- ›签名中的 d= 域必须与DMARC的 From 一致。
- ›通过发布新的选择器定期轮换密钥。
由EmailAuth研究团队审核
DKIM （域名密钥识别邮件）是一种电子邮件身份验证标准，它将加密签名附加到域发送的每封邮件上。接收服务器使用您的DNS中发布的公钥来验证该签名。如果检查通过，接收者就知道该消息已获得您的域的授权，并且消息的关键部分在传输过程中没有被更改。 DKIM与SPF和DMARC合作，证明您的邮件是真实的，并将欺骗性邮件排除在收件箱之外。
DKIM工作原理
DKIM使用公钥和私钥对。您的发送服务器保存私钥并用它签署每条传出消息。匹配的公钥位于由选择器构建的位置的DNS TXT记录中，例如selector1._domainkey.example.com 。当接收者收到您的消息时，它会从DKIM-Signature标头中读取选择器和域，从DNS获取公钥，并确认签名。有效签名意味着邮件是由持有您私钥的一方签名的，并且签名的内容在传输过程中没有更改。
- 私钥：存储在您的发送平台上，永不共享；它产生签名。
- 公钥：在选择器的DNS中发布，以便任何接收者都可以验证。
- 选择器：一个标签，可让您同时运行多个键，例如每个发送服务一个。
- 签名：添加到邮件正文和选择标头的DKIM-Signature标头。
签名涵盖什么内容
DKIM对邮件正文的哈希值以及一组选定的标头（通常是“发件人”、“主题”、“日期”和“收件人”）进行签名。如果发送后任何签名字段发生变化，则哈希值不再匹配并且验证失败。这就是DKIM检测篡改的原因。它不加密消息；它证明来源和完整性，而不是机密性。
DKIM对齐和DMARC
通过DKIM签名只是DMARC故事的一半。 DMARC还会检查对齐情况，这意味着DKIM签名中的域（d= 标记）必须与可见发件人地址中的域匹配。当签名域和发件人域对齐时， DKIM已对齐并且可以满足DMARC 。 SPF提供了第二条对齐路径，因此大多数发件人都会配置这两种路径。至少达成一致可以让您将DMARC从监控转向强制执行。
DKIM记录是什么样的
selector1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..."其中 v 是版本，k 是密钥类型，p 是公钥。
为什么DKIM现在很重要
2024 年，Google 和Yahoo开始要求批量发件人使用SPF 、 DKIM和DMARC进行身份验证。未通过这些检查的邮件可能会被限制或拒绝。 DKIM还比SPF更好地承受转发，因为只要签名内容保持不变，即使发送 IP 发生更改，转发的消息也会保留其签名。强大的DKIM现在是大规模到达收件箱的基线。
保持DKIM健康
在DNS和平台允许的情况下使用 2048 位 RSA 密钥，因为 1024 位密钥较弱，并且一些接收者会怀疑它们。按计划轮换密钥，并淘汰不再使用的选择器。 EmailAuth监视您的活动选择器、标记弱或过时的密钥，并显示DKIM是否与DMARC对齐。免费的域扫描一次性报告您的活动选择器、密钥强度和对齐情况，以便您可以在接收者之前修复间隙。
常见问题
DKIM会加密我的电子邮件吗？
不会DKIM添加了一个加密签名，证明邮件来自您的域并且在传输过程中没有被更改。它保护来源和完整性，而不是机密性。除非您使用单独的传输加密，否则任何拦截它的人仍然可以读取消息正文本身。
什么是DKIM选择器？
选择器是指向DNS中特定公钥的标签。它允许您一次发布多个DKIM密钥，例如为每个发送服务发布不同的密钥。接收方从DKIM-Signature标头中读取选择器，并使用它在selector._domainkey.yourdomain.com中查找正确的公钥。
如果我已经有SPF了，还需要DKIM吗？
是的。 SPF和DKIM检查不同的内容，而DMARC可以对其中任一内容进行调整。 DKIM比SPF更能承受转发，因此同时拥有两者可以为您提供更强大的DMARC对齐途径。 Google 和Yahoo现在希望批量发件人同时使用SPF 、 DKIM和DMARC 。
我应该多久轮换一次DKIM密钥？
常见的做法是每六到十二个月更换一次密钥，如果您怀疑密钥已暴露，则应尽快更换。轮换限制了私钥泄露造成的损害。 EmailAuth会标记过时的密钥，以便您知道选择器何时逾期刷新。
电子邮件中的DKIM是什么？
它是添加到消息标头中的数字签名，可让接收者验证发送域以及内容在传输过程中未更改。
DKIM如何运作？
发件人对选定的标头和正文进行哈希处理，使用私钥对哈希进行签名，并添加DKIM-Signature标头。接收方使用选择器从DNS获取公钥并验证签名。
您可以有多个DKIM记录吗？
是的，每个选择器一个。每个发送服务通常都有自己的选择器和密钥。
如何设置DKIM ？
在每个发送服务中启用DKIM ，发布它为您提供的TXT或CNAME记录，然后使用DKIM查找进行验证。
[ DKIM 指导 ]
企业出处
为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。
传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中，手动监督意味着延迟执行、配置漂移和不受监控的影子域。
EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject，保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准，以及人机交互审核能力。
SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密