Як налаштувати DKIM для власного домену електронної пошти?

Як працює DKIM?

DKIM дозволяє серверу-відправнику підписувати кожен лист закритим ключем, а будь-який одержувач може перевірити підпис відкритим ключем, опублікованим у DNS. Підпис міститься в заголовку DKIM-Signature. Він містить домен підписувача (d=), селектор (s=), підписані заголовки (h=), хеш тіла (bh=) і сам підпис (b=). RFC 6376, інтернет-стандарт, визначає ці теги.

Одержувач будує ім’я DNS із селектора і домену: selector._domainkey.domain. Для селектора fm1 і домену example.com він запитує fm1._domainkey.example.com. Відповідь — це запис із тегами v=DKIM1, k=rsa і p=, за якими йде відкритий ключ у base64. Порожнє p= означає, що ключ відкликано.

Дійсний підпис доводить дві речі: лист підписала система, яка має закритий ключ для цього домену, і підписані частини не змінилися в дорозі. Він не говорить, що лист бажаний. Це рішення належить DMARC, про який ідеться в SPF проти DKIM проти DMARC.

Чому провайдери просять записи CNAME замість ключа?

CNAME передає ключ провайдеру: відкритий ключ залишається за адресою провайдера, і провайдер може замінити його без того, щоб ви редагували DNS. Proton Mail, Fastmail і Mailbox.org використовують саме цей шаблон. Їхні записи є CNAME від вашого імені селектора до хоста, яким керує провайдер, а на ньому лежить справжній запис ключа.

Перевага — ротація ключів. RFC 6376 радить публікувати нові ключі під новими селекторами, а не повторно використовувати селектор, і Proton Mail публікує три селектори (protonmail, protonmail2, protonmail3), що дає провайдеру змогу перейти від одного ключа до наступного. Ціна для вас — довіра: ви покладаєтеся на те, що хост провайдера й надалі відповідатиме.

Згідно з порівнянням Postelva від 12 листопада 2026, у трьох провайдерів, чиї записи DKIM було прочитано на сторінках довідки, потрібно 3, 4 і 3 записи CNAME, усього 10, і жоден не вимагає ключа у вигляді TXT.

Якою має бути довжина ключа DKIM?

Використовуйте ключ RSA на 2048 біт; 1024 біти — мінімум, який RFC 6376 дозволяє для ключів довгострокового використання. Стандарт вимагає, щоб підписувачі використовували ключі RSA щонайменше 1024 біти, а перевіряльники мали змогу перевіряти ключі від 512 до 2048 біт. Правила Google для відправників вимагають щонайменше 1024 біти і рекомендують 2048. Коли ключ створює провайдер, як у налаштуванні CNAME вище, довжина — його вибір, і вам нічого не потрібно налаштовувати.

Якщо розмір треба обрати самостійно, обирайте 2048. Ключ на 2048 біт довший за один рядок DNS на 255 символів, тож значення TXT розбивається на кілька рядків, що більшість редакторів DNS роблять самі. Те саме обмеження редактора стосується запису SPF, описаного в як створити запис SPF.

Чи можна використовувати кількох провайдерів для одного домену?

Так: кожен провайдер підписує зі своїм селектором, тож їхні записи DKIM не конфліктують. Причина — саме селектор. Proton використовує protonmail, protonmail2 і protonmail3; Fastmail — fm1, fm2 і fm3; Mailbox.org — від MBO0001 до MBO0004. Інструмент розсилки, який надсилає від вашого імені, додає власний селектор.

SPF інший: він містить один запис для всіх відправників, з обмеженням у 10 перевірок. Коли ви остаточно йдете від провайдера, видаліть його записи DKIM після того, як переконаєтеся, що новий підписує, щоб покинутий ключ не міг використати той, хто отримає доступ до старого облікового запису. Повний порядок міграції описано в як перенести електронну пошту до нового провайдера без втрати листів.

Як перевірити, що DKIM працює?

Знайдіть селектор через dig, а потім надішліть справжній лист. Команда dig CNAME fm1._domainkey.example.com +short має вивести ціль провайдера. Для ключа у вигляді TXT запитуйте TXT. Вирішальний тест — лист: заголовки отриманої копії показують, чи записав приймаючий сервер dkim=pass.

Якщо запис правильний, а перевірка все одно не проходить, типові причини — неправильна назва хоста (домен додано двічі редактором DNS), застарілий кеш або лист, надісланий до того, як провайдер активував підписування. Наступний посібник, як перевірити записи MX, SPF, DKIM і DMARC, містить команди. Повні кроки для Fastmail — у посібнику щодо власного домену Fastmail.