Jak skonfigurować DKIM dla własnej domeny e-mail?

Jak działa DKIM?

DKIM pozwala serwerowi wysyłającemu podpisać każdą wiadomość kluczem prywatnym, a każdemu odbiorcy sprawdzić podpis kluczem publicznym opublikowanym w DNS. Podpis znajduje się w nagłówku DKIM-Signature. Zawiera domenę podpisującą (d=), selektor (s=), podpisane nagłówki (h=), skrót treści (bh=) i sam podpis (b=). Te znaczniki definiuje RFC 6376, standard internetowy.

Odbiorca buduje nazwę DNS z selektora i domeny: selector._domainkey.domain. Dla selektora fm1 i domeny example.com pyta o fm1._domainkey.example.com. Odpowiedzią jest rekord ze znacznikami v=DKIM1, k=rsa i p= po którym następuje klucz publiczny w base64. Puste p= oznacza, że klucz został unieważniony.

Ważny podpis dowodzi dwóch rzeczy: wiadomość została podpisana przez system, który posiada klucz prywatny tej domeny, a podpisane części nie zmieniły się w drodze. Nie mówi, że wiadomość jest pożądana. Ten osąd należy do DMARC, omówionego w SPF a DKIM a DMARC.

Dlaczego dostawcy proszą o rekordy CNAME zamiast klucza?

CNAME przekazuje klucz dostawcy: klucz publiczny pozostaje pod adresem dostawcy, a dostawca może go zastąpić bez proszenia Cię o edycję DNS. Proton Mail, Fastmail i Mailbox.org używają tego wzorca. Ich rekordy to CNAME z Twojej nazwy selektora na host, który kontrolują i który zawiera właściwy rekord klucza.

Korzyścią jest rotacja kluczy. RFC 6376 zaleca publikowanie nowych kluczy pod nowymi selektorami zamiast ponownego używania selektora, a Proton Mail publikuje trzy selektory (protonmail, protonmail2, protonmail3), co daje dostawcy miejsce na przejście od jednego klucza do następnego. Kosztem dla Ciebie jest zaufanie: polegasz na tym, że host dostawcy będzie nadal odpowiadał.

Według porównania Postelva z 12 listopada 2026 trzech dostawców, których rekordy DKIM odczytano na stronach pomocy, wymaga 3, 4 i 3 rekordów CNAME, łącznie 10, a żaden nie prosi o klucz TXT.

Jak długi powinien być klucz DKIM?

Użyj klucza RSA 2048-bitowego; 1024 bity to minimum, które RFC 6376 dopuszcza dla kluczy długotrwałych. Standard mówi, że podpisujący muszą używać kluczy RSA o długości co najmniej 1024 bitów, a weryfikujący muszą móc sprawdzać klucze od 512 do 2048 bitów. Wytyczne Google dla nadawców wymagają co najmniej 1024 bitów i zalecają 2048. Gdy klucz tworzy dostawca, jak w konfiguracji CNAME powyżej, długość jest jego wyborem i nic nie zostaje do skonfigurowania po Twojej stronie.

Gdy musisz sam wybrać rozmiar, wybierz 2048. Klucz 2048-bitowy jest dłuższy niż jeden ciąg 255 znaków w DNS, więc wartość TXT jest dzielona na kilka ciągów, co większość edytorów DNS robi sama. To samo ograniczenie edytora dotyczy rekordu SPF opisanego w jak utworzyć rekord SPF.

Czy mogę używać kilku dostawców w jednej domenie?

Tak: każdy dostawca podpisuje własnym selektorem, więc ich rekordy DKIM nie kolidują. Powodem jest selektor. Proton używa protonmail, protonmail2 i protonmail3; Fastmail używa fm1, fm2 i fm3; Mailbox.org używa MBO0001 do MBO0004. Narzędzie do newsletterów, które wysyła w Twoim imieniu, dodaje własny selektor.

SPF jest inny: ma jeden rekord dla wszystkich nadawców, z limitem 10 zapytań. Gdy odchodzisz od dostawcy na stałe, usuń jego rekordy DKIM po upewnieniu się, że nowy podpisuje, aby porzucony klucz nie mógł zostać użyty przez kogoś, kto uzyska dostęp do starego konta. Pełną kolejność migracji opisuje jak przenieść pocztę do nowego dostawcy bez utraty wiadomości.

Jak sprawdzić, czy DKIM działa?

Wyszukaj selektor za pomocą dig, a potem wyślij prawdziwą wiadomość. Polecenie dig CNAME fm1._domainkey.example.com +short powinno wypisać cel dostawcy. Dla klucza TXT zapytaj zamiast tego o TXT. Rozstrzygającym testem jest wiadomość: nagłówki otrzymanej kopii pokazują, czy serwer odbierający zapisał dkim=pass.

Jeśli rekord jest poprawny, a sprawdzenie nadal zawodzi, zwykłe przyczyny to błędna nazwa hosta (domena dodana dwa razy przez edytor DNS), nieaktualna pamięć podręczna lub wiadomość wysłana, zanim dostawca aktywował podpisywanie. Następny poradnik, jak sprawdzić rekordy MX, SPF, DKIM i DMARC, wymienia polecenia. Pełne kroki dla Fastmail są w poradniku o własnej domenie w Fastmail.