Как настроить DKIM для собственного почтового домена?

Как работает DKIM?

DKIM позволяет отправляющему серверу подписывать каждое письмо закрытым ключом, а любому получателю — проверять подпись открытым ключом, опубликованным в DNS. Подпись находится в заголовке DKIM-Signature. В ней указаны домен подписи (d=), селектор (s=), подписанные заголовки (h=), хеш тела (bh=) и сама подпись (b=). Эти теги определяет RFC 6376, Internet Standard.

Получатель строит имя в DNS из селектора и домена: selector._domainkey.domain. Для селектора fm1 и домена example.com он запрашивает fm1._domainkey.example.com. Ответом служит запись с тегами v=DKIM1, k=rsa и p=, за которым следует открытый ключ в base64. Пустое p= означает, что ключ отозван.

Действительная подпись доказывает две вещи: письмо подписано системой, обладающей закрытым ключом этого домена, и подписанные части не изменились в пути. Она не говорит, что письмо желательно. Это решает DMARC, описанный в разделе SPF, DKIM и DMARC: в чём разница.

Почему провайдеры просят CNAME-записи вместо ключа?

CNAME передаёт ключ провайдеру: открытый ключ остаётся по адресу провайдера, и провайдер может заменить его, не прося вас править DNS. Proton Mail, Fastmail и Mailbox.org используют эту схему. Их записи — CNAME от имени вашего селектора на хост, который они контролируют и где хранится сама запись с ключом.

Выгода — ротация ключей. RFC 6376 советует публиковать новые ключи под новыми селекторами, а не повторно использовать селектор, и Proton Mail публикует три селектора (protonmail, protonmail2, protonmail3), что даёт провайдеру возможность перейти от одного ключа к следующему. Для вас цена — доверие: вы полагаетесь на то, что хост провайдера продолжит отвечать.

По сравнению Postelva от 12 ноября 2026, трём провайдерам, чьи записи DKIM были прочитаны на справочных страницах, нужны 3, 4 и 3 CNAME-записи, всего 10, и ни один не просит TXT-ключ.

Какой длины должен быть ключ DKIM?

Используйте RSA-ключ в 2048 бит; 1024 бита — минимум, который RFC 6376 допускает для долгоживущих ключей. Стандарт требует, чтобы подписывающие использовали RSA-ключи не короче 1024 бит, а проверяющие умели проверять ключи от 512 до 2048 бит. Рекомендации Google для отправителей требуют не менее 1024 бит и советуют 2048. Когда ключ создаёт провайдер, как в схеме с CNAME выше, длину выбирает он, и вам ничего настраивать не нужно.

Когда размер приходится выбирать самому, выбирайте 2048. Ключ в 2048 бит длиннее одной строки в 255 символов в DNS, поэтому значение TXT разбивается на несколько строк, что большинство DNS-редакторов делает самостоятельно. Тот же предел редактора относится к записи SPF, описанной в разделе как создать запись SPF.

Можно ли использовать нескольких провайдеров на одном домене?

Да: каждый провайдер подписывает своим селектором, поэтому их записи DKIM не конфликтуют. Причина — селектор. Proton использует protonmail, protonmail2 и protonmail3; Fastmail использует fm1, fm2 и fm3; Mailbox.org использует MBO0001–MBO0004. Инструмент рассылок, который отправляет от вашего имени, добавляет собственный селектор.

С SPF иначе: он содержит одну запись для всех отправителей с лимитом в 10 запросов. Когда вы уходите от провайдера насовсем, удалите его записи DKIM после того, как убедитесь, что новый подписывает, чтобы брошенным ключом не мог воспользоваться тот, кто получит доступ к старому аккаунту. Полный порядок миграции описан в разделе как перенести почту к новому провайдеру без потери писем.

Как проверить, что DKIM работает?

Найдите селектор через dig, а затем отправьте настоящее письмо. Команда dig CNAME fm1._domainkey.example.com +short должна вывести цель провайдера. Для ключа в TXT запросите TXT. Решающий тест — письмо: заголовки полученной копии показывают, записал ли принимающий сервер dkim=pass.

Если запись верна, а проверка всё равно не проходит, обычные причины — неверное имя хоста (домен дважды добавлен DNS-редактором), устаревший кэш или письмо, отправленное до того, как провайдер включил подпись. Следующее руководство, как проверить записи MX, SPF, DKIM и DMARC, перечисляет команды. Все шаги для Fastmail приведены в руководстве по собственному домену в Fastmail.