คำตอบสั้น ๆ
ฉันตั้งค่า DKIM สำหรับอีเมลโดเมนแบบกำหนดเองอย่างไร?
เปิดการตั้งค่าโดเมนของผู้ให้บริการอีเมลของคุณ คัดลอกเรคคอร์ด DKIM ที่แสดง และเผยแพร่ใน DNS ภายใต้ชื่อ _domainkey: CNAME สามรายการสำหรับ Proton Mail และ Fastmail และสี่รายการสำหรับ Mailbox.org Postelva โฮสต์ในตัวแก้ไข DNS ฟรี และการลงนามจะเริ่มเมื่อผู้ให้บริการตรวจพบเรคคอร์ด
เรคคอร์ด DKIM ของผู้ให้บริการสามราย
| Провайдер | บันทึกข้อมูล | ชื่อ (โฮสต์) | ชี้ไปที่ |
|---|---|---|---|
| Proton Mail | 3 CNAME | protonmail._domainkey, protonmail2._domainkey, protonmail3._domainkey | เป้าหมายภายใต้ domains.proton.ch ไม่ซ้ำกันสำหรับโดเมนของคุณ |
| Mailbox.org | 4 CNAME | MBO0001._domainkey ถึง MBO0004._domainkey | MBO0001._domainkey.mailbox.org และอื่นๆ จนถึง MBO0004 |
| Fastmail | 3 CNAME | fm1._domainkey, fm2._domainkey, fm3._domainkey | fm1.yourdomain.dkim.fmhosted.com, fm2 และ fm3 ในลักษณะเดียวกัน |
ตรวจสอบล่าสุดเมื่อ ; ข้อมูลเก่ากว่ามีวันที่กำกับของตัวเอง
ตั้งค่า DKIM ในห้าขั้นตอน
เปิดแท็บ DKIM ของผู้ให้บริการ
ใน Proton Mail คือ Settings, Organization, Domain names แล้วแท็บ DKIM ของโดเมน ใน Fastmail และ Mailbox.org การตั้งค่าโดเมนแสดงรายการเรคคอร์ด
คัดลอกแต่ละชื่อและเป้าหมาย
คัดลอกให้ตรง อย่าพิมพ์ใหม่: อักขระผิดเพียงตัวเดียวในเป้าหมายทำให้กุญแจอ่านไม่ได้
เพิ่มเรคคอร์ดในตัวแก้ไข DNS
สร้างเรคคอร์ด CNAME หนึ่งรายการต่อบรรทัด โดยใช้โฮสต์ที่ผู้ให้บริการให้ หากตัวแก้ไข DNS ของคุณต่อโดเมนให้เอง ให้ป้อนเฉพาะส่วนก่อนหน้านั้น
รอ แล้วขอให้ผู้ให้บริการยืนยัน
คลิกปุ่มยืนยันหรือตรวจสอบอีกครั้งของผู้ให้บริการ เรคคอร์ดใหม่อาจใช้เวลาตั้งแต่ไม่กี่นาทีถึงไม่กี่ชั่วโมงกว่าจะมองเห็นได้ทุกที่
ส่งข้อความทดสอบแล้วอ่านผล
ส่งข้อความไปยังที่อยู่ที่ผู้ให้บริการอื่น เปิดส่วนหัวฉบับเต็มและมองหา dkim=pass จากนั้นไปยังเรคคอร์ด DMARC
; Fastmail (replace example.com with your domain)
fm1._domainkey.example.com. IN CNAME fm1.example.com.dkim.fmhosted.com.
fm2._domainkey.example.com. IN CNAME fm2.example.com.dkim.fmhosted.com.
fm3._domainkey.example.com. IN CNAME fm3.example.com.dkim.fmhosted.com.
; Mailbox.org
MBO0001._domainkey.example.com. IN CNAME MBO0001._domainkey.mailbox.org.
MBO0002._domainkey.example.com. IN CNAME MBO0002._domainkey.mailbox.org.
MBO0003._domainkey.example.com. IN CNAME MBO0003._domainkey.mailbox.org.
MBO0004._domainkey.example.com. IN CNAME MBO0004._domainkey.mailbox.org.DKIM ทำงานอย่างไร?
DKIM ให้เซิร์ฟเวอร์ผู้ส่งลงนามทุกข้อความด้วยกุญแจส่วนตัว และให้ผู้รับตรวจลายเซ็นด้วยกุญแจสาธารณะที่เผยแพร่ใน DNS ลายเซ็นอยู่ในส่วนหัว DKIM-Signature และประกอบด้วยโดเมนที่ลงนาม (d=) selector (s=) ส่วนหัวที่ลงนาม (h=) แฮชของเนื้อหา (bh=) และตัวลายเซ็นเอง (b=) RFC 6376 ซึ่งเป็น Internet Standard กำหนดแท็กเหล่านี้
ผู้รับสร้างชื่อ DNS จาก selector และโดเมน: selector._domainkey.domain สำหรับ selector fm1 และโดเมน example.com ผู้รับจะถาม fm1._domainkey.example.com คำตอบคือเรคคอร์ดที่มีแท็ก v=DKIM1, k=rsa และ p= ตามด้วยกุญแจสาธารณะในรูป base64 p= ว่างหมายความว่ากุญแจถูกเพิกถอน
ลายเซ็นที่ถูกต้องพิสูจน์สองอย่าง: ข้อความถูกลงนามโดยระบบที่ถือกุญแจส่วนตัวของโดเมนนั้น และส่วนที่ลงนามไม่ถูกเปลี่ยนระหว่างทาง แต่ไม่ได้บอกว่าข้อความนั้นต้องการหรือไม่ การตัดสินนั้นเป็นของ DMARC ซึ่งครอบคลุมในSPF vs DKIM vs DMARC
ทำไมผู้ให้บริการขอเรคคอร์ด CNAME แทนกุญแจ?
CNAME ส่งมอบกุญแจให้ผู้ให้บริการ: กุญแจสาธารณะอยู่ที่ที่อยู่ของผู้ให้บริการ และผู้ให้บริการเปลี่ยนมันได้โดยไม่ต้องให้คุณแก้ DNS Proton Mail, Fastmail และ Mailbox.org ใช้รูปแบบนี้ทั้งหมด เรคคอร์ดของพวกเขาเป็น CNAME จากชื่อ selector ของคุณไปยังโฮสต์ที่พวกเขาควบคุม ซึ่งถือเรคคอร์ดกุญแจจริง
ประโยชน์คือการหมุนเวียนกุญแจ RFC 6376 แนะนำให้เผยแพร่กุญแจใหม่ภายใต้ selector ใหม่แทนการใช้ selector เดิมซ้ำ และ Proton Mail เผยแพร่ selector สามตัว (protonmail, protonmail2, protonmail3) ซึ่งให้ผู้ให้บริการมีที่ว่างในการย้ายจากกุญแจหนึ่งไปอีกกุญแจหนึ่ง ต้นทุนสำหรับคุณคือความเชื่อถือ: คุณพึ่งพาให้โฮสต์ของผู้ให้บริการตอบต่อไป
ตามการเปรียบเทียบของ Postelva เมื่อ 12 พฤศจิกายน 2026 ผู้ให้บริการสามรายที่อ่านเรคคอร์ด DKIM จากหน้าช่วยเหลือของตนต้องใช้ CNAME 3, 4 และ 3 รายการ รวมเป็น 10 และไม่มีรายใดขอกุญแจแบบ TXT
กุญแจ DKIM ควรยาวแค่ไหน?
ใช้กุญแจ RSA 2048 บิต 1024 บิตคือขั้นต่ำที่ RFC 6376 อนุญาตสำหรับกุญแจที่ใช้งานระยะยาว มาตรฐานกำหนดให้ผู้ลงนามใช้กุญแจ RSA อย่างน้อย 1024 บิต และผู้ตรวจต้องรองรับกุญแจตั้งแต่ 512 ถึง 2048 บิต แนวทางของ Google สำหรับผู้ส่งขอให้อย่างน้อย 1024 บิตและแนะนำ 2048 เมื่อผู้ให้บริการสร้างกุญแจ เช่นในการตั้งค่า CNAME ด้านบน ความยาวเป็นการเลือกของผู้ให้บริการ และไม่มีอะไรให้คุณตั้งค่า
เมื่อคุณต้องเลือกขนาดเอง ให้เลือก 2048 กุญแจ 2048 บิตยาวกว่าสตริง DNS 255 ตัวอักษรหนึ่งสตริง ดังนั้นค่า TXT จะถูกแบ่งเป็นหลายสตริง ซึ่งตัวแก้ไข DNS ส่วนใหญ่ทำให้เอง ข้อจำกัดของตัวแก้ไขเดียวกันใช้กับเรคคอร์ด SPF ที่อธิบายในวิธีสร้างเรคคอร์ด SPF
ฉันใช้หลายผู้ให้บริการบนโดเมนเดียวได้ไหม?
ได้: แต่ละผู้ให้บริการลงนามด้วย selector ของตน เรคคอร์ด DKIM จึงไม่ชนกัน selector คือเหตุผล Proton ใช้ protonmail, protonmail2 และ protonmail3; Fastmail ใช้ fm1, fm2 และ fm3; Mailbox.org ใช้ MBO0001 ถึง MBO0004 เครื่องมือส่งจดหมายข่าวที่ส่งในชื่อของคุณเพิ่ม selector ของตนเอง
SPF ต่างกัน: มีเรคคอร์ดเดียวสำหรับผู้ส่งทุกราย พร้อมขีดจำกัด 10 การค้นหา เมื่อคุณออกจากผู้ให้บริการอย่างถาวร ให้ลบเรคคอร์ด DKIM ของเขาหลังจากยืนยันว่าผู้ให้บริการใหม่ลงนามแล้ว เพื่อไม่ให้กุญแจที่ถูกละทิ้งถูกใช้โดยใครก็ตามที่เข้าถึงบัญชีเดิมได้ ลำดับทั้งหมดของการย้ายอยู่ในวิธีย้ายอีเมลไปยังผู้ให้บริการใหม่โดยไม่สูญเสียจดหมาย
ฉันตรวจสอบว่า DKIM ทำงานอย่างไร?
ค้นหา selector ด้วย dig แล้วส่งข้อความจริง คำสั่ง dig CNAME fm1._domainkey.example.com +short ควรแสดงเป้าหมายของผู้ให้บริการ สำหรับกุญแจ TXT ให้ขอ TXT แทน การทดสอบที่ชี้ขาดคือข้อความ ส่วนหัวของสำเนาที่ได้รับแสดงว่าเซิร์ฟเวอร์ผู้รับบันทึก dkim=pass หรือไม่
หากเรคคอร์ดถูกต้องแต่การตรวจยังล้มเหลว สาเหตุที่พบบ่อยคือโฮสต์ชื่อผิด (โดเมนถูกเพิ่มสองครั้งโดยตัวแก้ไข DNS) แคชที่ค้าง หรือข้อความที่ส่งก่อนผู้ให้บริการเปิดการลงนาม คู่มือถัดไป วิธีตรวจสอบเรคคอร์ด MX, SPF, DKIM และ DMARC แสดงคำสั่ง ขั้นตอน Fastmail ทั้งหมดอยู่ในคู่มือโดเมนแบบกำหนดเองของ Fastmail
คำถามเกี่ยวกับการตั้งค่า DKIM
selector ของ DKIM คืออะไร?
selector คือป้ายที่ผู้ลงนามเลือกเพื่อระบุกุญแจหนึ่งดอก เช่น fm1 หรือ protonmail ทำให้โดเมนเก็บกุญแจหลายดอกพร้อมกันและหมุนเวียนได้โดยไม่หยุดทำงาน
ฉันต้องใช้ DKIM หากมี SPF แล้วหรือไม่?
ต้องใช้ SPF จะพังเมื่อข้อความถูกส่งต่อ ขณะที่ลายเซ็น DKIM อยู่รอดได้หากข้อความไม่ถูกเปลี่ยนแปลง การกฎของ Gmail สำหรับผู้ส่งจำนวนมากขอให้มีทั้งสองอย่าง
ทำไมตัวแก้ไข DNS ของฉันปฏิเสธเรคคอร์ดที่ขึ้นต้นด้วยขีดล่าง?
ชื่อที่มีขีดล่าง เช่น _domainkey ถูกต้องใน DNS แม้จะไม่ถูกต้องเป็นชื่อโฮสต์ ให้ป้อนโฮสต์ตามที่ผู้ให้บริการแสดงทุกตัวอักษร โดยไม่เพิ่มโดเมนสองครั้ง
ฉันเปลี่ยน selector ของ DKIM ได้ไหม?
ผู้ให้บริการเป็นผู้กำหนด Mailbox.org ใช้ MBO0001 ถึง MBO0004, Fastmail ใช้ fm1 ถึง fm3 และ Proton Mail ใช้ protonmail ถึง protonmail3 คงชื่อไว้ตามเดิม
DKIM เข้ารหัสข้อความหรือไม่?
ไม่ มันลงนามข้อความเพื่อพิสูจน์ที่มาและความสมบูรณ์ และไม่ซ่อนเนื้อหา
สรุป
- DKIM ลงนามทุกข้อความ กุญแจสาธารณะอยู่ที่ selector._domainkey.domain
- Proton Mail และ Fastmail ต้องใช้ CNAME สามรายการ Mailbox.org ใช้สี่
- คัดลอกชื่อและเป้าหมายให้ตรงจากหน้าจอของผู้ให้บริการ เป้าหมายของ Proton Mail ไม่ซ้ำกันสำหรับโดเมนของคุณ
- RFC 6376 กำหนดให้ผู้ลงนามใช้กุญแจ RSA อย่างน้อย 1024 บิต; แนะนำ 2048
- ผู้ให้บริการแต่ละรายใช้ selector ของตนเอง จึงลงนามให้โดเมนเดียวได้หลายราย
- ทดสอบด้วย dig และข้อความจริงที่แสดง dkim=pass
- Postelva โฮสต์เรคคอร์ดใน DNS ฟรี และ .com ราคา US$12.49/ปี ทุกปี
แหล่งที่มา (5)
- RFC 6376, DomainKeys Identified Mail (DKIM) Signatures — RFC Editor (อ่านเมื่อ 2026-11-12)
- แนวทางผู้ส่งอีเมล — Google Workspace Admin Help (อ่านเมื่อ 2026-11-12)
- การป้องกันการปลอมแปลงและโดเมนแบบกำหนดเอง — Proton (อ่านเมื่อ 2026-11-12)
- SPF, DKIM และ DMARC สำหรับโดเมนแบบกำหนดเอง — Mailbox.org (อ่านเมื่อ 2026-11-12)
- Fastmail DNS help — Fastmail (อ่านเมื่อ 2026-11-12)