DKIM密钥如何工作
选择器让一个域名可以同时保留多把密钥：每个邮件服务一把，或在轮换期间新旧两把并存。Google Workspace用google，Microsoft 365用selector1和selector2，Mailchimp用k1。
短于2048位的密钥更容易被破解，部分收件方已经把1024位签名视为弱签名。建议每年轮换一到两次密钥。
什么时候需要
- 确认新的邮件服务用您的域名签名
- 群发前找出1024位的弱密钥
- 确认密钥轮换已同步到DNS
DKIM检测
在线检查任意域名的DKIM记录、密钥类型和密钥长度是否安全
DKIM用密钥为每封邮件签名，收件方用DNS中的公钥验证签名。密钥位于selector._domainkey.域名。
问题与解答
01如何找到我的DKIM选择器？
打开一封已发送的邮件，找到DKIM-Signature头：选择器就是s=标签的值。邮件服务商也会在域名设置中显示它。
02为什么找不到密钥？
可能选择器不对，服务商要求的CNAME还没创建，或者修改后DNS尚未更新。
03密钥长度该用多少？
用2048位RSA。支持Ed25519的收件方较少，如果使用它，请同时发布一把RSA密钥。
04一个域名可以有多个DKIM密钥吗？
可以。每个服务用自己的选择器：一个给Google Workspace，另一个给邮件群发服务。密钥放在不同的名称上，互不干扰。
05DKIM密钥多久更换一次？
每6到12个月。用新的选择器发布密钥，把签名切换过去，几天后等带旧签名的邮件都送达了，再删除旧密钥。