संक्षिप्त उत्तर
मैं कस्टम ईमेल डोमेन के लिए DKIM कैसे सेट करूँ?
अपने ईमेल प्रदाता की डोमेन सेटिंग खोलें, वह दिखाए गए DKIM रिकॉर्ड कॉपी करें, और उन्हें अपने DNS में _domainkey नाम के अंतर्गत प्रकाशित करें: Proton Mail और Fastmail के लिए तीन CNAME रिकॉर्ड, Mailbox.org के लिए चार। Postelva उन्हें अपने मुफ़्त DNS एडिटर में होस्ट करता है, और प्रदाता रिकॉर्ड पहचानते ही साइनिंग शुरू होती है।
तीन प्रदाताओं के DKIM रिकॉर्ड
| प्रदाता | रिकॉर्ड | नाम (होस्ट) | किसकी ओर इशारा करता है |
|---|---|---|---|
| Proton Mail | 3 CNAME | protonmail._domainkey, protonmail2._domainkey, protonmail3._domainkey | domains.proton.ch के अंतर्गत एक लक्ष्य, आपके डोमेन के लिए अनोखा |
| Mailbox.org | 4 CNAME | MBO0001._domainkey से MBO0004._domainkey | MBO0001._domainkey.mailbox.org और इसी तरह MBO0004 तक |
| Fastmail | 3 CNAME | fm1._domainkey, fm2._domainkey, fm3._domainkey | fm1.yourdomain.dkim.fmhosted.com, fm2 और fm3 भी इसी तरह |
अंतिम जाँच को; पुराने आँकड़ों की अपनी तारीख होती है
पाँच चरणों में DKIM सेट करें
अपने प्रदाता का DKIM टैब खोलें
Proton Mail में यह Settings, Organization, Domain names, फिर डोमेन का DKIM टैब है। Fastmail और Mailbox.org में डोमेन सेटिंग रिकॉर्ड सूचीबद्ध करती हैं।
हर नाम और लक्ष्य कॉपी करें
उन्हें हूबहू कॉपी करें। हाथ से न लिखें: लक्ष्य में एक गलत अक्षर कुंजी को अपठनीय बना देता है।
DNS एडिटर में रिकॉर्ड जोड़ें
हर लाइन में एक CNAME रिकॉर्ड बनाएँ, होस्ट वही जो प्रदाता ने दिया है। यदि आपका DNS एडिटर डोमेन खुद जोड़ता है, तो केवल उससे पहले का हिस्सा डालें।
इंतज़ार करें, फिर प्रदाता से सत्यापन कराएँ
प्रदाता का सत्यापित या दोबारा जाँचें बटन दबाएँ। नया रिकॉर्ड हर जगह दिखने में कुछ मिनट से कुछ घंटे लग सकते हैं।
परीक्षण संदेश भेजें और परिणाम पढ़ें
किसी दूसरे प्रदाता के पते पर संदेश भेजें, उसके पूरे हेडर खोलें और dkim=pass देखें। फिर DMARC रिकॉर्ड पर जाएँ।
; Fastmail (replace example.com with your domain)
fm1._domainkey.example.com. IN CNAME fm1.example.com.dkim.fmhosted.com.
fm2._domainkey.example.com. IN CNAME fm2.example.com.dkim.fmhosted.com.
fm3._domainkey.example.com. IN CNAME fm3.example.com.dkim.fmhosted.com.
; Mailbox.org
MBO0001._domainkey.example.com. IN CNAME MBO0001._domainkey.mailbox.org.
MBO0002._domainkey.example.com. IN CNAME MBO0002._domainkey.mailbox.org.
MBO0003._domainkey.example.com. IN CNAME MBO0003._domainkey.mailbox.org.
MBO0004._domainkey.example.com. IN CNAME MBO0004._domainkey.mailbox.org.DKIM कैसे काम करता है?
DKIM भेजने वाले सर्वर को हर संदेश एक निजी कुंजी से साइन करने देता है, और कोई भी रिसीवर DNS में प्रकाशित सार्वजनिक कुंजी से हस्ताक्षर जाँच सकता है। हस्ताक्षर DKIM-Signature हेडर में रहता है। इसमें साइनिंग डोमेन (d=), selector (s=), साइन किए गए हेडर (h=), बॉडी का हैश (bh=) और हस्ताक्षर स्वयं (b=) होते हैं। RFC 6376, एक इंटरनेट मानक, ये टैग परिभाषित करता है।
रिसीवर selector और डोमेन से DNS नाम बनाता है: selector._domainkey.domain। selector fm1 और डोमेन example.com के लिए वह fm1._domainkey.example.com पूछता है। उत्तर एक ऐसा रिकॉर्ड है जिसमें टैग v=DKIM1, k=rsa और p= हैं, जिसके बाद base64 में सार्वजनिक कुंजी आती है। खाली p= का मतलब है कि कुंजी रद्द है।
वैध हस्ताक्षर दो बातें साबित करता है: संदेश उस कुंजी वाले सिस्टम ने साइन किया जो उस डोमेन की निजी कुंजी रखता है, और साइन किए हिस्से रास्ते में नहीं बदले। यह नहीं बताता कि संदेश वांछित है। वह निर्णय DMARC का है, जो SPF बनाम DKIM बनाम DMARC में है।
प्रदाता कुंजी के बजाय CNAME रिकॉर्ड क्यों माँगते हैं?
CNAME कुंजी प्रदाता को सौंप देता है: सार्वजनिक कुंजी प्रदाता के पते पर रहती है और प्रदाता DNS बदले बिना उसे बदल सकता है। Proton Mail, Fastmail और Mailbox.org सभी यही पैटर्न इस्तेमाल करते हैं। उनके रिकॉर्ड आपके selector नाम से एक ऐसे होस्ट की ओर CNAME हैं जिसे वे नियंत्रित करते हैं, और वहीं असली कुंजी रिकॉर्ड है।
इसका फ़ायदा कुंजी बदलने में है। RFC 6376 सलाह देता है कि नई कुंजियाँ नए selector के नीचे प्रकाशित हों, न कि selector दोबारा इस्तेमाल हो, और Proton Mail तीन selector (protonmail, protonmail2, protonmail3) प्रकाशित करता है, जिससे प्रदाता एक कुंजी से अगली पर जाने की जगह पा लेता है। आपके लिए लागत भरोसे की है: आप प्रदाता के होस्ट के उत्तर देते रहने पर निर्भर हैं।
Postelva की 12 नवंबर 2026 की तुलना के अनुसार, जिन तीन प्रदाताओं के DKIM रिकॉर्ड उनके सहायता पृष्ठों पर पढ़े गए, उन्हें 3, 4 और 3 CNAME रिकॉर्ड चाहिए, कुल 10, और उनमें से कोई TXT कुंजी नहीं माँगता।
DKIM कुंजी कितनी लंबी होनी चाहिए?
2048-bit RSA कुंजी इस्तेमाल करें; 1024 bits वह न्यूनतम है जिसे RFC 6376 लंबे समय के लिए मान्य कुंजियों पर अनुमति देता है। मानक कहता है कि साइनर को कम से कम 1024 bits की RSA कुंजी इस्तेमाल करनी होगी, और वेरिफ़ायर 512 से 2048 bits तक की कुंजियाँ जाँच सकें। Google के भेजने वाले दिशानिर्देश कम से कम 1024 bits माँगते हैं और 2048 की सिफ़ारिश करते हैं। जब प्रदाता कुंजी बनाता है, जैसा ऊपर CNAME सेटअप में, तो लंबाई उसकी चुनी होती है और आपके लिए कॉन्फ़िगर करने को कुछ नहीं बचता।
जब आपको खुद आकार चुनना हो, तो 2048 चुनें। 2048-bit कुंजी DNS की एक 255-अक्षर की स्ट्रिंग से लंबी होती है, इसलिए TXT मान कई स्ट्रिंग में बँटता है, जो अधिकतर DNS एडिटर खुद करते हैं। वही एडिटर सीमा SPF रिकॉर्ड पर लागू होती है, जिसका विवरण SPF रिकॉर्ड कैसे बनाएँ में है।
क्या एक डोमेन पर कई प्रदाता इस्तेमाल कर सकते हैं?
हाँ: हर प्रदाता अपने selector से साइन करता है, इसलिए उनकी DKIM रिकॉर्ड आपस में नहीं टकराते। कारण selector है। Proton protonmail, protonmail2 और protonmail3 इस्तेमाल करता है; Fastmail fm1, fm2 और fm3; Mailbox.org MBO0001 से MBO0004। आपकी ओर से भेजने वाला न्यूज़लेटर टूल अपना selector जोड़ता है।
SPF अलग है: उसमें सभी भेजने वालों के लिए एक ही रिकॉर्ड होता है, जिसकी 10-लुकअप सीमा है। जब आप किसी प्रदाता को पूरी तरह छोड़ें, तो उसके DKIM रिकॉर्ड हटा दें, नए प्रदाता के साइन करने की पुष्टि के बाद, ताकि पुरानी कुंजी किसी ऐसे व्यक्ति के काम न आए जो पुराने खाते तक पहुँच पा ले। माइग्रेशन का पूरा क्रम बिना मेल खोए नए प्रदाता पर ईमेल कैसे ले जाएँ में है।
मैं कैसे जाँचूँ कि DKIM काम करता है?
dig से selector देखें और फिर एक असली संदेश भेजें। कमांड dig CNAME fm1._domainkey.example.com +short प्रदाता का लक्ष्य दिखाना चाहिए। TXT कुंजी के लिए TXT माँगें। निर्णायक परीक्षण एक संदेश है: प्राप्त प्रति के हेडर बताते हैं कि प्राप्त करने वाले सर्वर ने dkim=pass दर्ज किया या नहीं।
यदि रिकॉर्ड सही है और जाँच फिर भी विफल है, तो आम कारण हैं: गलत होस्ट नाम (DNS एडिटर ने डोमेन दो बार जोड़ा), पुराना कैश, या प्रदाता के साइनिंग सक्रिय करने से पहले भेजा गया संदेश। अगला मार्गदर्शक, MX, SPF, DKIM और DMARC रिकॉर्ड कैसे जाँचें, कमांड सूचीबद्ध करता है। Fastmail के पूरे चरण Fastmail कस्टम डोमेन गाइड में हैं।
DKIM सेटअप: सवाल
DKIM selector क्या है?
selector साइनर द्वारा चुना गया एक लेबल है जो एक कुंजी की पहचान करता है, जैसे fm1 या protonmail। इससे एक डोमेन एक साथ कई कुंजियाँ रख सकता है और उन्हें बिना रुकावट बदल सकता है।
क्या SPF होने पर भी मुझे DKIM चाहिए?
हाँ। जब संदेश आगे भेजा जाता है तो SPF टूट जाता है, जबकि यदि संदेश नहीं बदला गया हो तो DKIM हस्ताक्षर बचा रहता है। Gmail के बल्क भेजने वाले नियम दोनों माँगते हैं।
मेरा DNS एडिटर अंडरस्कोर से शुरू होने वाला रिकॉर्ड क्यों अस्वीकार करता है?
_domainkey जैसे अंडरस्कोर नाम DNS में वैध हैं, भले ही वे वैध होस्ट नाम न हों। होस्ट वैसे ही डालें जैसे प्रदाता दिखाता है, बिना डोमेन दो बार जोड़े।
क्या मैं DKIM selector बदल सकता हूँ?
selector प्रदाता तय करता है। Mailbox.org MBO0001 से MBO0004, Fastmail fm1 से fm3, और Proton Mail protonmail से protonmail3 इस्तेमाल करता है। नाम वैसे ही रखें।
क्या DKIM संदेश को एन्क्रिप्ट करता है?
नहीं। वह संदेश पर हस्ताक्षर करता है ताकि मूल और अखंडता साबित हो, और सामग्री नहीं छिपाता।
सार
- DKIM हर संदेश पर हस्ताक्षर करता है; सार्वजनिक कुंजी selector._domainkey.domain पर रहती है।
- Proton Mail और Fastmail को 3 CNAME रिकॉर्ड चाहिए, Mailbox.org को 4।
- नाम और लक्ष्य प्रदाता की स्क्रीन से हूबहू कॉपी करें; Proton Mail के लक्ष्य आपके डोमेन के लिए अनोखे हैं।
- RFC 6376 के अनुसार साइनर को कम से कम 1024 bits की RSA कुंजियाँ इस्तेमाल करनी होंगी; 2048 की सिफ़ारिश है।
- हर प्रदाता अपने selector इस्तेमाल करता है, इसलिए एक डोमेन के लिए कई प्रदाता साइन कर सकते हैं।
- dig और एक असली संदेश से जाँचें जो dkim=pass दिखाए।
- Postelva मुफ़्त DNS में रिकॉर्ड रखता है; एक .com की कीमत हर साल $12.49/साल है।
स्रोत (5)
- RFC 6376, DomainKeys Identified Mail (DKIM) Signatures — RFC Editor (पढ़ा गया 2026-11-12)
- ईमेल भेजने वालों के दिशानिर्देश — Google Workspace Admin Help (पढ़ा गया 2026-11-12)
- कस्टम डोमेन और स्पूफ़िंग से बचाव — Proton (पढ़ा गया 2026-11-12)
- कस्टम डोमेन के लिए SPF, DKIM और DMARC — Mailbox.org (पढ़ा गया 2026-11-12)
- Fastmail DNS सहायता — Fastmail (पढ़ा गया 2026-11-12)