DKIM חותם על כל הודעה במפתח, והנמענים מאמתים את החתימה מול המפתח הציבורי ב-DNS. המפתח יושב ב-selector._domainkey.domain.
הסלקטור מאפשר לדומיין להחזיק כמה מפתחות בבת אחת: אחד לכל שירות דואר, או ישן וחדש בזמן החלפה. Google Workspace משתמש ב-google, Microsoft 365 ב-selector1 וב-selector2, ו-Mailchimp ב-k1.
מפתחות קצרים מ-2048 ביט קל יותר לפרוץ, וחלק מהנמענים כבר מתייחסים לחתימות של 1024 ביט כחלשות. החליפו מפתחות פעם או פעמיים בשנה.
פתחו הודעה ששלחתם ומצאו את הכותרת DKIM-Signature: הסלקטור הוא התגית s=. ספקי דואר מציגים אותו גם בהגדרות הדומיין.
ייתכן שהסלקטור שגוי, שהספק מבקש CNAME שעוד לא יצרתם, או שה-DNS עוד לא התעדכן אחרי השינוי.
RSA של 2048 ביט. פחות נמענים תומכים ב-Ed25519, אז אם אתם משתמשים בו פרסמו אותו לצד מפתח RSA.
כן. כל שירות מקבל selector משלו: אחד ל-Google Workspace, אחר לשירות הדיוור. המפתחות יושבים על שמות שונים ולא מפריעים זה לזה.
כל 6 עד 12 חודשים. פרסמו מפתח תחת selector חדש, העבירו אליו את החתימה, ומחקו את הישן כמה ימים אחר כך, כשהמכתבים עם החתימה הישנה כבר הגיעו.
