什麼是 DKIM？

它是什麼

DKIM 使用一組金鑰對。寄件系統持有私密金鑰，並用它為每封寄出的郵件簽章，涵蓋內文與所選的標頭，例如 From、To 與 Subject。簽章放在標頭中傳送，並附上簽署網域與選擇器（selector）名稱。

對應的公開金鑰發布在您的 DNS 中，位置是 selector._domainkey 加上您的網域。收件方查詢後驗證簽章。通過代表已簽署的部分與寄出時完全一致，且來自持有您金鑰的系統。

哪些情況下仍有效，哪些會使其失效

• 轉寄：郵件原封不動轉寄時，簽章仍然有效，因為簽章屬於郵件本身，而不是寄出它的伺服器。這正是 DKIM 比 SPF 表現更好之處。
• 傳輸中的更動：郵寄清單加上頁尾或修改主旨，或是過濾器改寫內文，都會使簽章失效。

每個寄件服務一把金鑰

每個以您的網域名義寄信的服務，都需要個別啟用 DKIM：Microsoft 365、電子報平台、會以電子郵件寄送發票的會計套裝軟體。每個服務在各自的選擇器下發布自己的公開金鑰，因此可以並存。Microsoft 365 會請您新增兩筆 CNAME 記錄，指向由 Microsoft 管理的金鑰。Google Workspace 則提供一筆 TXT 記錄供您發布。一旦強制執行 DMARC，沒有自己簽章就寄信的服務，通常就是造成失敗的原因。

在服務與 DNS 主機支援的情況下，請使用 2048 位元金鑰，並定期更換金鑰，選擇器機制讓您可以在不中斷郵件的情況下更換。

為什麼這對企業很重要

有效的簽章讓收件方有理由信任您的郵件，也讓 DMARC 能將它與您的 From 地址連結起來。單靠 DKIM 並不會說明驗證失敗的郵件該如何處理。請參閱我們的電子郵件驗證指南。

KawaConnect 如何處理 DKIM

在設定或遷移 Microsoft 365 時，我們會在 Exchange Online 啟用 DKIM 簽章並發布記錄，接著檢查企業使用的其他寄信服務。請參閱我們的 Microsoft 365 頁面與企業電子郵件指南。

瞭解更多

• 維基百科上的 DomainKeys Identified Mail對 DKIM 簽章與選擇器運作方式的中立概述。
• Microsoft 365 中的電子郵件驗證Microsoft 的概述，並附有為自訂網域啟用 DKIM 的步驟連結。
• Cloudflare 上的 DMARC、DKIM 與 SPF說明 DKIM 如何與另外兩種記錄配合，為非專業人士撰寫。