快速回答
如何为自定义电子邮件域名设置 DKIM？
打开您的电子邮件服务商的域名设置，复制它显示的 DKIM 记录，并将其发布到您 DNS 中的 _domainkey 名称之下：Proton Mail 和 Fastmail 为三条 CNAME 记录，Mailbox.org 为四条。Postelva 在其免费 DNS 编辑器中托管这些记录，服务商检测到记录后即开始签名。
三家服务商的 DKIM 记录
| 提供商 | 记录 | 名称（主机） | 指向 |
|---|---|---|---|
| Proton Mail | 3 CNAME | protonmail._domainkey, protonmail2._domainkey, protonmail3._domainkey | domains.proton.ch 下的一个目标，为您的域名专有 |
| Mailbox.org | 4 CNAME | MBO0001._domainkey 至 MBO0004._domainkey | MBO0001._domainkey.mailbox.org，依此类推直到 MBO0004 |
| Fastmail | 3 CNAME | fm1._domainkey, fm2._domainkey, fm3._domainkey | fm1.yourdomain.dkim.fmhosted.com，fm2 和 fm3 同样处理 |
最后核查于 ；较早的数据各自标注其日期
五步设置 DKIM
打开服务商的 DKIM 标签页
在 Proton Mail 中，路径是“设置”、“组织”、“域名”，然后是该域名的 DKIM 标签页。在 Fastmail 和 Mailbox.org 中，域名设置会列出这些记录。
复制每个名称和目标
请准确复制。不要重新输入：目标中错一个字符，密钥就无法读取。
在 DNS 编辑器中添加记录
每行创建一条 CNAME 记录，主机使用服务商给出的值。如果您的 DNS 编辑器会自动追加域名，请只输入其前面的部分。
等待，然后请服务商验证
点击服务商的验证或重新检查按钮。新记录可能需要几分钟到几小时才能在各处可见。
发送测试邮件并查看结果
向另一个服务商的地址发送一封邮件，打开完整邮件头，查找 dkim=pass。然后继续设置 DMARC 记录。
; Fastmail (replace example.com with your domain)
fm1._domainkey.example.com. IN CNAME fm1.example.com.dkim.fmhosted.com.
fm2._domainkey.example.com. IN CNAME fm2.example.com.dkim.fmhosted.com.
fm3._domainkey.example.com. IN CNAME fm3.example.com.dkim.fmhosted.com.
; Mailbox.org
MBO0001._domainkey.example.com. IN CNAME MBO0001._domainkey.mailbox.org.
MBO0002._domainkey.example.com. IN CNAME MBO0002._domainkey.mailbox.org.
MBO0003._domainkey.example.com. IN CNAME MBO0003._domainkey.mailbox.org.
MBO0004._domainkey.example.com. IN CNAME MBO0004._domainkey.mailbox.org.DKIM 如何运作？
DKIM 让发送服务器用私钥为每封邮件签名，并让任何接收方用发布在 DNS 中的公钥检查签名。签名位于 DKIM-Signature 邮件头中。它包含签名域名（d=）、selector（s=）、已签名的邮件头（h=）、正文哈希（bh=）和签名本身（b=）。RFC 6376 是一项 Internet Standard，定义了这些标签。
接收方根据 selector 和域名构建 DNS 名称：selector._domainkey.domain。对于 selector fm1 和域名 example.com，它会查询 fm1._domainkey.example.com。结果是一条包含 v=DKIM1、k=rsa 标签以及 p=（后接 base64 编码的公钥）的记录。空的 p= 表示密钥已被吊销。
有效的签名证明两件事：邮件由持有该域名私钥的系统签名，并且已签名的部分在传输中没有改变。它并不说明这封邮件是否受欢迎。这个判断属于 DMARC，详见 SPF、DKIM 与 DMARC 的比较。
为什么服务商要求添加 CNAME 记录而不是密钥？
CNAME 把密钥交给服务商：公钥保存在服务商的地址，服务商可以更换它而无需您编辑 DNS。Proton Mail、Fastmail 和 Mailbox.org 都使用这种模式。它们的记录是从您的 selector 名称指向它们所控制的主机的 CNAME，该主机保存实际的密钥记录。
好处是密钥轮换。RFC 6376 建议在新的 selector 下发布新密钥，而不是重复使用 selector，Proton Mail 发布三个 selector（protonmail、protonmail2、protonmail3），让服务商有空间从一个密钥过渡到下一个。对您来说，代价是信任：您依赖服务商的主机持续应答。
根据 Postelva 在 2026 年 11 月 12 日的比较，其帮助页面上读到 DKIM 记录的三家服务商分别需要 3、4 和 3 条 CNAME 记录，共 10 条，并且没有一家要求 TXT 密钥。
DKIM 密钥应该多长？
使用 2048 位 RSA 密钥；1024 位是 RFC 6376 对长期使用的密钥所允许的最小值。该标准规定签名方必须使用至少 1024 位的 RSA 密钥，验证方必须能够检查 512 至 2048 位的密钥。Google 的发件人指南要求至少 1024 位，并推荐 2048 位。当服务商创建密钥时，如同上述 CNAME 设置，长度由它选择，您无需配置任何内容。
当您必须自己选择长度时，请选 2048。2048 位的密钥比 DNS 中一个 255 个字符的字符串更长，因此 TXT 值会被拆分为多个字符串，大多数 DNS 编辑器会自动完成。同样的编辑器限制也适用于如何创建 SPF 记录中描述的 SPF 记录。
我可以在一个域名上使用多个服务商吗？
可以：每个服务商用自己的 selector 签名，所以它们的 DKIM 记录不会冲突。原因就是 selector。Proton 使用 protonmail、protonmail2 和 protonmail3；Fastmail 使用 fm1、fm2 和 fm3；Mailbox.org 使用 MBO0001 至 MBO0004。以您的名义发送的新闻通讯工具会添加它自己的 selector。
SPF 则不同：它为所有发件方只保留一条记录，且有 10 次查询的限制。当您彻底离开一个服务商时，请在确认新服务商已能签名之后，再删除其 DKIM 记录，这样任何获得旧账户访问权限的人都无法使用被遗弃的密钥。完整的迁移顺序见如何把邮件迁移到新服务商而不丢失邮件。
如何检查 DKIM 是否有效？
用 dig 查询 selector，然后发送一封真实的邮件。命令 dig CNAME fm1._domainkey.example.com +short 应该输出服务商的目标。对于 TXT 密钥，请改为查询 TXT。决定性的测试是一封邮件：收到副本的邮件头会显示接收服务器是否记录了 dkim=pass。
如果记录正确但检查仍然失败，常见原因有：主机名有误（DNS 编辑器把域名添加了两次）、缓存过期，或邮件是在服务商启用签名之前发送的。下一份指南如何检查 MX、SPF、DKIM 和 DMARC 记录列出了这些命令。Fastmail 的完整步骤见 Fastmail 自定义域名指南。
DKIM 设置常见问题
什么是 DKIM selector？
selector 是签名方选择的标签，用于标识一个密钥，例如 fm1 或 protonmail。它让一个域名可以同时保留多个密钥，并在不中断服务的情况下轮换。
如果我已有 SPF，还需要 DKIM 吗？
需要。邮件被转发时 SPF 会失效，而只要邮件未被改动，DKIM 签名就仍然有效。Gmail 的批量发件人规则要求两者都有。
为什么我的 DNS 编辑器拒绝以下划线开头的记录？
像 _domainkey 这样的下划线名称在 DNS 中是有效的，尽管它们不是有效的主机名。请严格按服务商显示的内容输入主机，不要把域名添加两次。
我可以更改 DKIM selector 吗？
由服务商设定。Mailbox.org 使用 MBO0001 至 MBO0004，Fastmail 使用 fm1 至 fm3，Proton Mail 使用 protonmail 至 protonmail3。请保持名称不变。
DKIM 会加密邮件吗？
不会。它为邮件签名以证明来源和完整性，并不隐藏内容。
总结
- DKIM 为每封邮件签名；公钥位于 selector._domainkey.domain。
- Proton Mail 和 Fastmail 需要 3 条 CNAME 记录，Mailbox.org 需要 4 条。
- 请从服务商的界面准确复制名称和目标；Proton Mail 的目标是您的域名专有的。
- RFC 6376 要求签名方使用至少 1024 位的 RSA 密钥；推荐 2048 位。
- 每个服务商使用自己的 selector，因此多个服务商可以为同一个域名签名。
- 用 dig 和显示 dkim=pass 的真实邮件进行测试。
- Postelva 在免费 DNS 中托管这些记录；.com 每年 US$12.49/年。
来源 (5)
- RFC 6376，DomainKeys Identified Mail (DKIM) 签名 — RFC Editor (查询日期 2026-11-12)
- 电子邮件发件人指南 — Google Workspace Admin Help (查询日期 2026-11-12)
- 自定义域名与防伪造 — Proton (查询日期 2026-11-12)
- 自定义域名的 SPF、DKIM 和 DMARC — Mailbox.org (查询日期 2026-11-12)
- Fastmail DNS 帮助 — Fastmail (查询日期 2026-11-12)