پاسخ کوتاه
چگونه DKIM را برای یک دامنه‌ی ایمیل سفارشی راه‌اندازی کنم؟
صفحه‌ی تنظیمات دامنه‌ی ارائه‌دهنده‌ی ایمیل‌تان را باز کنید، رکوردهای DKIM را که نشان می‌دهد کپی کنید و آن‌ها را زیر نام _domainkey در DNS خود منتشر کنید: سه رکورد CNAME برای Proton Mail و Fastmail، و چهار رکورد برای Mailbox.org. Postelva آن‌ها را در ویرایشگر DNS رایگان خود میزبانی می‌کند، و امضاگذاری پس از تشخیص رکوردها توسط ارائه‌دهنده آغاز می‌شود.
رکوردهای DKIM سه ارائه‌دهنده
| ارائه‌دهنده | رکوردها | نام‌ها (میزبان) | اشاره می‌کند به |
|---|---|---|---|
| Proton Mail | 3 CNAME | protonmail._domainkey، protonmail2._domainkey، protonmail3._domainkey | هدفی زیر domains.proton.ch که مختص دامنه‌ی شماست |
| Mailbox.org | 4 CNAME | MBO0001._domainkey تا MBO0004._domainkey | MBO0001._domainkey.mailbox.org و همین‌طور تا MBO0004 |
| Fastmail | 3 CNAME | fm1._domainkey، fm2._domainkey، fm3._domainkey | fm1.yourdomain.dkim.fmhosted.com، و fm2 و fm3 به همین شکل |
آخرین بررسی در ؛ ارقام قدیمی‌تر تاریخ خودشان را دارند
راه‌اندازی DKIM در پنج مرحله
زبانه‌ی DKIM ارائه‌دهنده‌تان را باز کنید
در Proton Mail این مسیر است: Settings، Organization، Domain names، سپس زبانه‌ی DKIM دامنه. در Fastmail و Mailbox.org، تنظیمات دامنه رکوردها را فهرست می‌کند.
هر نام و هدف را کپی کنید
دقیقاً کپی کنید. آن‌ها را دوباره تایپ نکنید: یک نویسه‌ی غلط در یک هدف، کلید را غیرقابل خواندن می‌کند.
رکوردها را در ویرایشگر DNS اضافه کنید
در هر خط یک رکورد CNAME بسازید، با میزبانی که ارائه‌دهنده داده است. اگر ویرایشگر DNS خودش دامنه را به انتها اضافه می‌کند، فقط بخش پیش از آن را وارد کنید.
صبر کنید، سپس از ارائه‌دهنده بخواهید تأیید کند
دکمه‌ی تأیید یا بررسی مجدد ارائه‌دهنده را بزنید. یک رکورد تازه ممکن است از چند دقیقه تا چند ساعت طول بکشد تا همه‌جا دیده شود.
یک پیام آزمایشی بفرستید و نتیجه را بخوانید
پیامی به یک نشانی نزد ارائه‌دهنده‌ی دیگر بفرستید، سرآیندهای کامل آن را باز کنید و دنبال dkim=pass بگردید. سپس به رکورد DMARC بروید.
; Fastmail (replace example.com with your domain)
fm1._domainkey.example.com. IN CNAME fm1.example.com.dkim.fmhosted.com.
fm2._domainkey.example.com. IN CNAME fm2.example.com.dkim.fmhosted.com.
fm3._domainkey.example.com. IN CNAME fm3.example.com.dkim.fmhosted.com.
; Mailbox.org
MBO0001._domainkey.example.com. IN CNAME MBO0001._domainkey.mailbox.org.
MBO0002._domainkey.example.com. IN CNAME MBO0002._domainkey.mailbox.org.
MBO0003._domainkey.example.com. IN CNAME MBO0003._domainkey.mailbox.org.
MBO0004._domainkey.example.com. IN CNAME MBO0004._domainkey.mailbox.org.DKIM چگونه کار می‌کند؟
DKIM به سرور فرستنده اجازه می‌دهد هر پیام را با یک کلید خصوصی امضا کند، و به هر گیرنده اجازه می‌دهد امضا را با یک کلید عمومی که در DNS منتشر شده بررسی کند. امضا در یک سرآیند DKIM-Signature قرار دارد. آن شامل دامنه‌ی امضاکننده (d=)، selector (s=)، سرآیندهای امضاشده (h=)، هش بدنه (bh=) و خود امضا (b=) است. RFC 6376، یک استاندارد اینترنتی، این تگ‌ها را تعریف می‌کند.
گیرنده نام DNS را از selector و دامنه می‌سازد: selector._domainkey.domain. برای selector به نام fm1 و دامنه‌ی example.com، نام fm1._domainkey.example.com را می‌پرسد. پاسخ رکوردی با تگ‌های v=DKIM1، k=rsa و p= است که پس از آن کلید عمومی به‌صورت base64 می‌آید. p= خالی یعنی کلید باطل شده است.
یک امضای معتبر دو چیز را ثابت می‌کند: پیام را سیستمی امضا کرده که کلید خصوصی آن دامنه را دارد، و بخش‌های امضاشده در مسیر تغییر نکرده‌اند. این نمی‌گوید که پیام خواسته‌شده است. آن قضاوت به DMARC تعلق دارد که در SPF در برابر DKIM در برابر DMARC پوشش داده شده است.
چرا ارائه‌دهندگان به جای یک کلید، رکورد CNAME می‌خواهند؟
یک CNAME کلید را به ارائه‌دهنده می‌سپارد: کلید عمومی در نشانی ارائه‌دهنده می‌ماند و ارائه‌دهنده می‌تواند آن را بدون اینکه از شما بخواهد DNS را ویرایش کنید عوض کند. Proton Mail، Fastmail و Mailbox.org همگی از این الگو استفاده می‌کنند. رکوردهای آن‌ها CNAMEهایی از نام selector شما به میزبانی است که ارائه‌دهنده کنترل می‌کند و رکورد کلید واقعی را نگه می‌دارد.
مزیت آن چرخش کلید است. RFC 6376 توصیه می‌کند کلیدهای جدید زیر selectorهای جدید منتشر شوند، نه اینکه یک selector دوباره استفاده شود، و Proton Mail سه selector منتشر می‌کند (protonmail، protonmail2، protonmail3)، که به ارائه‌دهنده فضا می‌دهد از یک کلید به کلید بعدی برود. هزینه‌ی آن برای شما اعتماد است: به پاسخ‌گو بودن میزبان ارائه‌دهنده تکیه می‌کنید.
طبق مقایسه‌ی Postelva در 12 نوامبر 2026، سه ارائه‌دهنده‌ای که رکوردهای DKIM آن‌ها در صفحات راهنمایشان خوانده شد به ترتیب 3، 4 و 3 رکورد CNAME لازم دارند، یعنی 10 در مجموع، و هیچ‌کدام کلید TXT نمی‌خواهد.
کلید DKIM باید چقدر باشد؟
از کلید RSA با 2048 بیت استفاده کنید؛ 1024 بیت کم‌ترین مقداری است که RFC 6376 برای کلیدهای بلندمدت مجاز می‌داند. استاندارد می‌گوید امضاکننده‌ها باید کلیدهای RSA با حداقل 1024 بیت به کار ببرند، و تأییدکننده‌ها باید بتوانند کلیدهای 512 تا 2048 بیت را بررسی کنند. دستورالعمل‌های فرستنده‌ی Google حداقل 1024 بیت می‌خواهد و 2048 را توصیه می‌کند. وقتی ارائه‌دهنده کلید را می‌سازد، مثل راه‌اندازی CNAME بالا، اندازه انتخاب خود اوست و چیزی برای پیکربندی برای شما باقی نمی‌ماند.
وقتی خودتان باید اندازه را انتخاب کنید، 2048 را بردارید. یک کلید 2048 بیتی از یک رشته‌ی 255 نویسه‌ای DNS بلندتر است، پس مقدار TXT به چند رشته تقسیم می‌شود، که بیشتر ویرایشگرهای DNS خودشان این کار را می‌کنند. همان محدودیت ویرایشگر برای رکورد SPF که در چگونه یک رکورد SPF بسازیم توضیح داده شده هم اعمال می‌شود.
آیا می‌توانم چند ارائه‌دهنده را روی یک دامنه داشته باشم؟
بله: هر ارائه‌دهنده با selector خودش امضا می‌کند، پس رکوردهای DKIM آن‌ها با هم برخورد نمی‌کنند. دلیل آن selector است. Proton از protonmail، protonmail2 و protonmail3 استفاده می‌کند؛ Fastmail از fm1، fm2 و fm3؛ Mailbox.org از MBO0001 تا MBO0004. یک ابزار خبرنامه که به نام شما ارسال می‌کند، یک selector خاص خودش اضافه می‌کند.
SPF متفاوت است: برای همه‌ی فرستنده‌ها یک رکورد دارد، با سقف 10 جست‌وجو. وقتی برای همیشه یک ارائه‌دهنده را ترک می‌کنید، پس از اطمینان از اینکه ارائه‌دهنده‌ی جدید امضا می‌کند، رکوردهای DKIM آن را حذف کنید، تا کلیدی که رها شده توسط هر کسی که به حساب قدیمی دسترسی پیدا کند قابل استفاده نباشد. برای ترتیب کامل یک مهاجرت، چگونه ایمیل را بدون از دست دادن نامه به ارائه‌دهنده‌ی جدید منتقل کنیم را ببینید.
چگونه بررسی کنم DKIM کار می‌کند؟
selector را با dig جست‌وجو کنید، سپس یک پیام واقعی بفرستید. دستور dig CNAME fm1._domainkey.example.com +short باید هدف ارائه‌دهنده را چاپ کند. برای یک کلید TXT، به‌جای آن TXT بخواهید. آزمون قطعی یک پیام است: سرآیندهای نسخه‌ی دریافت‌شده نشان می‌دهند آیا سرور گیرنده dkim=pass را ثبت کرده است.
اگر رکورد درست است و بررسی هنوز شکست می‌خورد، علل معمول یک نام میزبان غلط (دامنه‌ای که ویرایشگر DNS دوبار اضافه کرده)، کش قدیمی، یا پیامی است که پیش از فعال شدن امضا توسط ارائه‌دهنده فرستاده شده است. راهنمای بعدی، چگونه رکوردهای MX، SPF، DKIM و DMARC را بررسی کنیم، دستورها را فهرست می‌کند. مراحل کامل Fastmail در راهنمای دامنه‌ی سفارشی Fastmail است.
پرسش‌های راه‌اندازی DKIM
selector DKIM چیست؟
selector برچسبی است که امضاکننده انتخاب می‌کند و یک کلید را مشخص می‌کند، مثل fm1 یا protonmail. این اجازه می‌دهد یک دامنه همزمان چند کلید داشته باشد و بدون وقفه آن‌ها را بچرخاند.
اگر SPF دارم، آیا DKIM هم لازم است؟
بله. SPF وقتی پیامی هدایت شود می‌شکند، در حالی که امضای DKIM اگر پیام تغییر نکرده باشد باقی می‌ماند. قواعد فرستنده‌ی انبوه Gmail هر دو را می‌خواهد.
چرا ویرایشگر DNS من رکوردی را که با خط زیرین شروع می‌شود رد می‌کند؟
نام‌های با خط زیرین مثل _domainkey در DNS معتبرند، حتی اگر به‌عنوان نام میزبان معتبر نباشند. میزبان را دقیقاً همان‌طور که ارائه‌دهنده نشان می‌دهد وارد کنید، بدون اینکه دامنه را دوبار اضافه کنید.
آیا می‌توانم selector DKIM را عوض کنم؟
ارائه‌دهنده آن را تعیین می‌کند. Mailbox.org از MBO0001 تا MBO0004 استفاده می‌کند، Fastmail از fm1 تا fm3 و Proton Mail از protonmail تا protonmail3. نام‌ها را بدون تغییر نگه دارید.
آیا DKIM پیام را رمزگذاری می‌کند؟
خیر. پیام را امضا می‌کند تا اصالت و یکپارچگی‌اش ثابت شود، و محتوا را پنهان نمی‌کند.
خلاصه
- DKIM هر پیام را امضا می‌کند؛ کلید عمومی در selector._domainkey.domain قرار دارد.
- Proton Mail و Fastmail به 3 رکورد CNAME نیاز دارند، Mailbox.org به 4.
- نام‌ها و هدف‌ها را دقیقاً از صفحه‌ی ارائه‌دهنده کپی کنید؛ هدف‌های Proton Mail مختص دامنه‌ی شماست.
- RFC 6376 امضاکننده‌ها را ملزم می‌کند از کلیدهای RSA با حداقل 1024 بیت استفاده کنند؛ 2048 توصیه می‌شود.
- هر ارائه‌دهنده selectorهای خودش را دارد، پس چند تا می‌توانند برای یک دامنه امضا کنند.
- با dig و یک پیام واقعی آزمایش کنید که dkim=pass را نشان دهد.
- Postelva رکوردها را در DNS رایگان میزبانی می‌کند؛ یک .com $ 12.49/سال در سال هزینه دارد.
منابع (5)
- RFC 6376، DomainKeys Identified Mail (DKIM) Signatures — RFC Editor (خوانده‌شده در 2026-11-12)
- دستورالعمل‌های فرستنده‌ی ایمیل — Google Workspace Admin Help (خوانده‌شده در 2026-11-12)
- دامنه‌ی سفارشی و ضد جعل — Proton (خوانده‌شده در 2026-11-12)
- SPF، DKIM و DMARC برای یک دامنه‌ی سفارشی — Mailbox.org (خوانده‌شده در 2026-11-12)
- راهنمای DNS فرستنده‌ی Fastmail — Fastmail (خوانده‌شده در 2026-11-12)