# Как настроить DKIM для собственного почтового домена? > DKIM требует 3 CNAME-записи в Proton Mail и Fastmail и 4 в Mailbox.org, публикуемые под _domainkey; копируйте значения у своего провайдера. - URL: https://postelva.com/ru/guides/dkim-setup/ - Последнее обновление: 2026-11-12 - Издатель: Postelva (https://postelva.com) DKIM настраивается на экране администрирования вашего провайдера и публикуется в вашем DNS. Работа состоит в том, чтобы точно скопировать записи. **Кратко — Как настроить DKIM для собственного почтового домена?** Откройте настройки домена у вашего почтового провайдера, скопируйте показанные им записи DKIM и опубликуйте их в своём DNS под именем _domainkey: три CNAME-записи для Proton Mail и Fastmail, четыре для Mailbox.org. **Postelva** размещает их в своём бесплатном DNS-редакторе, и подпись начинает работать, когда провайдер обнаружит записи. ## Записи DKIM трёх провайдеров *Прочитано на справочных страницах провайдеров 12 ноября 2026. Цели Proton Mail уникальны для вашего домена: копируйте их на вкладке DKIM. Tuta, iCloud+, Migadu и Zoho Mail: копируйте записи с экрана настройки провайдера.* | Провайдер | Записи | Имена (хост) | Указывает на | | --- | --- | --- | --- | | Proton Mail | 3 CNAME | protonmail._domainkey, protonmail2._domainkey, protonmail3._domainkey | Цель под domains.proton.ch, уникальная для вашего домена | | Mailbox.org | 4 CNAME | MBO0001._domainkey – MBO0004._domainkey | MBO0001._domainkey.mailbox.org и так далее до MBO0004 | | Fastmail | 3 CNAME | fm1._domainkey, fm2._domainkey, fm3._domainkey | fm1.yourdomain.dkim.fmhosted.com, fm2 и fm3 аналогично | *Последняя проверка: 12 ноября 2026 г.; для более старых данных указана своя дата.* ## Настройка DKIM за пять шагов 1. **Откройте вкладку DKIM у вашего провайдера** — В Proton Mail это Настройки, Организация, Доменные имена, затем вкладка DKIM домена. В Fastmail и Mailbox.org записи перечислены в настройках домена. 2. **Скопируйте каждое имя и цель** — Копируйте их точно. Не перепечатывайте: один неверный символ в цели делает ключ нечитаемым. 3. **Добавьте записи в DNS-редакторе** — Создайте по одной CNAME-записи на строку, с хостом, указанным провайдером. Если ваш DNS-редактор сам дописывает домен, вводите только часть перед ним. 4. **Подождите, затем попросите провайдера проверить** — Нажмите кнопку проверки или повторной проверки у провайдера. Новая запись может стать видимой везде спустя от нескольких минут до нескольких часов. 5. **Отправьте тестовое письмо и прочитайте результат** — Отправьте письмо на адрес у другого провайдера, откройте его полные заголовки и найдите dkim=pass. Затем переходите к записи DMARC. *CNAME-записи DKIM: шаблоны Fastmail и Mailbox.org* ```dns ; Fastmail (replace example.com with your domain) fm1._domainkey.example.com. IN CNAME fm1.example.com.dkim.fmhosted.com. fm2._domainkey.example.com. IN CNAME fm2.example.com.dkim.fmhosted.com. fm3._domainkey.example.com. IN CNAME fm3.example.com.dkim.fmhosted.com. ; Mailbox.org MBO0001._domainkey.example.com. IN CNAME MBO0001._domainkey.mailbox.org. MBO0002._domainkey.example.com. IN CNAME MBO0002._domainkey.mailbox.org. MBO0003._domainkey.example.com. IN CNAME MBO0003._domainkey.mailbox.org. MBO0004._domainkey.example.com. IN CNAME MBO0004._domainkey.mailbox.org. ``` ## Как работает DKIM? **DKIM позволяет отправляющему серверу подписывать каждое письмо закрытым ключом, а любому получателю — проверять подпись открытым ключом, опубликованным в DNS.** Подпись находится в заголовке DKIM-Signature. В ней указаны домен подписи (d=), селектор (s=), подписанные заголовки (h=), хеш тела (bh=) и сама подпись (b=). Эти теги определяет RFC 6376, Internet Standard. Получатель строит имя в DNS из селектора и домена: selector._domainkey.domain. Для селектора fm1 и домена example.com он запрашивает fm1._domainkey.example.com. Ответом служит запись с тегами v=DKIM1, k=rsa и p=, за которым следует открытый ключ в base64. Пустое p= означает, что ключ отозван. Действительная подпись доказывает две вещи: письмо подписано системой, обладающей закрытым ключом этого домена, и подписанные части не изменились в пути. Она не говорит, что письмо желательно. Это решает DMARC, описанный в разделе [SPF, DKIM и DMARC: в чём разница](https://postelva.com/ru/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?"). ## Почему провайдеры просят CNAME-записи вместо ключа? **CNAME передаёт ключ провайдеру: открытый ключ остаётся по адресу провайдера, и провайдер может заменить его, не прося вас править DNS.** Proton Mail, Fastmail и Mailbox.org используют эту схему. Их записи — CNAME от имени вашего селектора на хост, который они контролируют и где хранится сама запись с ключом. Выгода — ротация ключей. RFC 6376 советует публиковать новые ключи под новыми селекторами, а не повторно использовать селектор, и Proton Mail публикует три селектора (protonmail, protonmail2, protonmail3), что даёт провайдеру возможность перейти от одного ключа к следующему. Для вас цена — доверие: вы полагаетесь на то, что хост провайдера продолжит отвечать. По сравнению Postelva от 12 ноября 2026, трём провайдерам, чьи записи DKIM были прочитаны на справочных страницах, нужны 3, 4 и 3 CNAME-записи, всего 10, и ни один не просит TXT-ключ. ## Какой длины должен быть ключ DKIM? **Используйте RSA-ключ в 2048 бит; 1024 бита — минимум, который RFC 6376 допускает для долгоживущих ключей.** Стандарт требует, чтобы подписывающие использовали RSA-ключи не короче 1024 бит, а проверяющие умели проверять ключи от 512 до 2048 бит. Рекомендации Google для отправителей требуют не менее 1024 бит и советуют 2048. Когда ключ создаёт провайдер, как в схеме с CNAME выше, длину выбирает он, и вам ничего настраивать не нужно. Когда размер приходится выбирать самому, выбирайте 2048. Ключ в 2048 бит длиннее одной строки в 255 символов в DNS, поэтому значение TXT разбивается на несколько строк, что большинство DNS-редакторов делает самостоятельно. Тот же предел редактора относится к записи SPF, описанной в разделе [как создать запись SPF](https://postelva.com/ru/guides/spf-record-setup/ "How to create an SPF record for a custom domain"). ## Можно ли использовать нескольких провайдеров на одном домене? **Да: каждый провайдер подписывает своим селектором, поэтому их записи DKIM не конфликтуют.** Причина — селектор. Proton использует protonmail, protonmail2 и protonmail3; Fastmail использует fm1, fm2 и fm3; Mailbox.org использует MBO0001–MBO0004. Инструмент рассылок, который отправляет от вашего имени, добавляет собственный селектор. С SPF иначе: он содержит одну запись для всех отправителей с лимитом в 10 запросов. Когда вы уходите от провайдера насовсем, удалите его записи DKIM после того, как убедитесь, что новый подписывает, чтобы брошенным ключом не мог воспользоваться тот, кто получит доступ к старому аккаунту. Полный порядок миграции описан в разделе [как перенести почту к новому провайдеру без потери писем](https://postelva.com/ru/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail"). ## Как проверить, что DKIM работает? **Найдите селектор через dig, а затем отправьте настоящее письмо.** Команда dig CNAME fm1._domainkey.example.com +short должна вывести цель провайдера. Для ключа в TXT запросите TXT. Решающий тест — письмо: заголовки полученной копии показывают, записал ли принимающий сервер dkim=pass. Если запись верна, а проверка всё равно не проходит, обычные причины — неверное имя хоста (домен дважды добавлен DNS-редактором), устаревший кэш или письмо, отправленное до того, как провайдер включил подпись. Следующее руководство, [как проверить записи MX, SPF, DKIM и DMARC](https://postelva.com/ru/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"), перечисляет команды. Все шаги для Fastmail приведены в [руководстве по собственному домену в Fastmail](https://postelva.com/ru/guides/fastmail-custom-domain-setup/ "How to set up Fastmail with a custom domain"). ## Вопросы по настройке DKIM ### Что такое селектор DKIM? Селектор — это метка, выбираемая подписывающим, которая обозначает один ключ, например fm1 или protonmail. Он позволяет домену держать несколько ключей одновременно и менять их без простоя. ### Нужен ли DKIM, если у меня уже есть SPF? Да. SPF ломается при пересылке письма, а подпись DKIM сохраняется, если письмо не изменено. Правила Gmail для массовых отправителей требуют обоих. ### Почему мой DNS-редактор отклоняет запись, начинающуюся с подчёркивания? Имена с подчёркиванием, такие как _domainkey, допустимы в DNS, хотя недопустимы как имена хостов. Вводите хост точно так, как его показывает провайдер, не добавляя домен дважды. ### Можно ли изменить селектор DKIM? Его задаёт провайдер. Mailbox.org использует MBO0001–MBO0004, Fastmail — fm1–fm3, а Proton Mail — protonmail–protonmail3. Оставляйте имена без изменений. ### Шифрует ли DKIM письмо? Нет. Он подписывает письмо, чтобы подтвердить происхождение и целостность, и не скрывает содержимое. **Итог** - DKIM подписывает каждое письмо; открытый ключ находится по адресу selector._domainkey.domain. - Proton Mail и Fastmail требуют 3 CNAME-записи, Mailbox.org — 4. - Копируйте имена и цели точно с экрана провайдера; цели Proton Mail уникальны для вашего домена. - RFC 6376 требует от подписывающих RSA-ключи не короче 1024 бит; рекомендуется 2048. - Каждый провайдер использует свои селекторы, поэтому для одного домена могут подписывать несколько. - Проверяйте с помощью dig и настоящего письма, показывающего dkim=pass. - Postelva размещает записи в бесплатном DNS; .com стоит 12,49 $/год каждый год. ## Источники 1. [RFC 6376, DomainKeys Identified Mail (DKIM) Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (прочитано 2026-11-12) 2. [Рекомендации для отправителей почты](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (прочитано 2026-11-12) 3. [Собственный домен и защита от подделки отправителя](https://proton.me/support/anti-spoofing-custom-domain) — Proton (прочитано 2026-11-12) 4. [SPF, DKIM и DMARC для собственного домена](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (прочитано 2026-11-12) 5. [Справка Fastmail по DNS](https://www.fastmail.help/hc/en-us/articles/360060591153) — Fastmail (прочитано 2026-11-12) --- Postelva: Postelva регистрирует доменные имена для приватной почты — адрес, который остаётся с вами при смене провайдера — с оплатой криптовалютой и без KYC: без документа, удостоверяющего личность, только один подтверждённый адрес электронной почты на домен. Сервис принадлежит DomaineGoat LLC, компании, зарегистрированной в Панаме; домены регистрируются через её партнёра-регистратора, аккредитованного ICANN. Домен .com стоит 12,49 $/год, и эта цена одинакова каждый год.