[快速解答]
要设置DKIM ，请在每个发送平台中生成密钥（或使用DKIM生成器），将公钥作为TXT或CNAME记录在selector._domainkey.yourdomain.com上发布，在平台中启用签名并通过DKIM查找或标头分析确认签名通过。
主要事实
- ›Google Workspace默认选择器：google。
- ›Microsoft 365使用选择器 1 和选择器CNAME记录。
- ›在您的DNS主机允许长TXT值的情况下，使用 2048 位 RSA 密钥。
由EmailAuth研究团队审核
设置DKIM需要五个步骤：生成密钥对、在选择器的DNS中发布公钥、在发送平台上启用签名、验证签名是否通过并与您的发件人域保持一致，然后按计划轮换密钥。大多数电子邮件平台会为您生成密钥，并为您提供一条记录以粘贴到DNS中，因此工作主要是仔细复制和验证。一旦DKIM上线，它就会与SPF一起进入DMARC对齐。
开始之前
列出使用您的域发送邮件的每项服务：您的邮箱提供商、营销工具、帮助台、计费系统以及任何其他服务。每个都需要自己的DKIM密钥和选择器。缺少服务意味着其邮件可能无法通过DKIM ，并且一旦您实施DMARC ，就会陷入垃圾邮件或退回邮件。域扫描可帮助您找到您忘记的发件人。
- 1
1. 生成密钥对
创建公钥和私钥，最好是 2048 位 RSA。大多数平台都会在其DKIM设置中为您执行此操作，并将私钥保留在自己身边。如果您自行托管，请使用您的邮件服务器工具生成该对并安全地存储私钥。
- 2
2. 在DNS中发布公钥
使用您的平台为您提供的选择器在selector._domainkey.yourdomain.com处添加TXT记录。该值看起来像v=DKIM1; k=rsa; p=YOUR_PUBLIC_KEY.如果密钥很长，请将其拆分为带引号的字符串，以便DNS接受完整的值。
- 3
3.启用签名
在发送平台中启用DKIM签名，以便每封传出邮件都会获得DKIM-Signature标头。使用您发布的选择器和域确认平台签名。
- 4
4. 验证签名和对齐
向您控制的邮箱发送测试邮件并检查DKIM通行证的标头。确认 d= 域与您的发件人域匹配，以便DKIM与DMARC保持一致。检查器或域扫描可以一眼确认强度和对齐情况。
- 5
5. 按计划轮换钥匙
计划每六到十二个月更换一次钥匙。发布一个新的选择器，切换签名到它，验证它通过，然后在没有邮件使用它时删除旧记录。
记录示例
s1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ..."如果您的DNS限制记录长度，则将其拆分为带引号的字符串。
常见的设置错误
- 粘贴带有换行符或空格的键会破坏值。
- 以错误的选择器名称发布，因此记录显示丢失。
- 当 2048 位可用时使用 1024 位密钥。
- 忘记发送服务，因此其邮件保持未签名状态。
- 启用签名，但从不检查域是否与DMARC的 From 一致。
验证，然后执行
DKIM通过并协调后，将DMARC转向强制执行。从p=none开始查看报告，确认所有发件人都经过身份验证，然后逐步进行p=quarantine和p=reject.自 2024 年起，Google 和Yahoo就要求批量发件人进行身份验证，因此经过验证的DKIM设置是到达收件箱的一部分。 EmailAuth在设置后监控您的选择器，标记弱或过时的密钥，并确认DKIM在您添加新发件人时保持一致。
常见问题
发布记录后， DKIM需要多长时间才能生效？
DNS记录需要传播，这通常需要几分钟，但最长可能需要一天，具体取决于您的提供商和 TTL。一旦公钥在DNS中可见并启用签名，收件人就可以验证您的邮件。发送测试消息并检查标头以确认其通过。
我可以为我的所有发送工具使用一个DKIM密钥吗？
为每个服务提供自己的选择器和密钥会更干净，因为私钥保留在该平台上。跨工具共享一个密钥是不切实际的，因为每个平台都拥有自己的私钥。每个服务使用一个选择器还可以使轮换和故障排除变得更加容易。
我应该为DKIM使用什么密钥长度？
在您的DNS提供商和平台支持的情况下使用 2048 位 RSA。它比旧的 1024 位标准更强，但一些接收器现在不鼓励使用旧的 1024 位标准。如果一个长密钥无法容纳在一个TXT字符串中，请将其拆分为多个带引号的字符串。
如果设置了DKIM ，我还需要SPF和DMARC吗？
是的。 DKIM证明邮件已签名且未更改，但DMARC将身份验证与可见的发件人域联系起来，并告诉接收者如何处理失败。 SPF提供第二条对齐路径。这三者加在一起就是谷歌和Yahoo对批量发件人的期望。
如何配置DKIM ？
在您的电子邮件平台中打开DKIM ，复制它显示的DNS记录，发布它，等待DNS传播，然后单击验证或开始签名。
DKIM需要多长时间才能发挥作用？
通常需要几分钟到几个小时，具体取决于DNS传播和提供商的 TTL。
[ DKIM 指导 ]
企业出处
为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。
传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中，手动监督意味着延迟执行、配置漂移和不受监控的影子域。
EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject，保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准，以及人机交互审核能力。
SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密