# 如何为自定义电子邮件域名设置 DKIM？ > DKIM 在 Proton Mail 和 Fastmail 需要 3 条 CNAME 记录，在 Mailbox.org 需要 4 条，发布在 _domainkey 之下；请从您的服务商处复制这些值。 - URL: https://postelva.com/zh/guides/dkim-setup/ - 最后更新: 2026-11-12 - 发布者: Postelva (https://postelva.com) DKIM 在您服务商的管理界面中设置，并发布到您的 DNS 中。工作内容就是准确地复制这些记录。 **快速回答 — 如何为自定义电子邮件域名设置 DKIM？** 打开您的电子邮件服务商的域名设置，复制它显示的 DKIM 记录，并将其发布到您 DNS 中的 _domainkey 名称之下：Proton Mail 和 Fastmail 为三条 CNAME 记录，Mailbox.org 为四条。**Postelva** 在其免费 DNS 编辑器中托管这些记录，服务商检测到记录后即开始签名。 ## 三家服务商的 DKIM 记录 *读取自服务商的帮助页面，日期为 2026 年 11 月 12 日。Proton Mail 的目标是您的域名专有的：请从 DKIM 标签页复制。Tuta、iCloud+、Migadu 和 Zoho Mail：请从服务商的设置界面复制记录。* | 提供商 | 记录 | 名称（主机） | 指向 | | --- | --- | --- | --- | | Proton Mail | 3 CNAME | protonmail._domainkey, protonmail2._domainkey, protonmail3._domainkey | domains.proton.ch 下的一个目标，为您的域名专有 | | Mailbox.org | 4 CNAME | MBO0001._domainkey 至 MBO0004._domainkey | MBO0001._domainkey.mailbox.org，依此类推直到 MBO0004 | | Fastmail | 3 CNAME | fm1._domainkey, fm2._domainkey, fm3._domainkey | fm1.yourdomain.dkim.fmhosted.com，fm2 和 fm3 同样处理 | *最后核查于 2026年11月12日；较早的数据各自标注其日期.* ## 五步设置 DKIM 1. **打开服务商的 DKIM 标签页** — 在 Proton Mail 中，路径是“设置”、“组织”、“域名”，然后是该域名的 DKIM 标签页。在 Fastmail 和 Mailbox.org 中，域名设置会列出这些记录。 2. **复制每个名称和目标** — 请准确复制。不要重新输入：目标中错一个字符，密钥就无法读取。 3. **在 DNS 编辑器中添加记录** — 每行创建一条 CNAME 记录，主机使用服务商给出的值。如果您的 DNS 编辑器会自动追加域名，请只输入其前面的部分。 4. **等待，然后请服务商验证** — 点击服务商的验证或重新检查按钮。新记录可能需要几分钟到几小时才能在各处可见。 5. **发送测试邮件并查看结果** — 向另一个服务商的地址发送一封邮件，打开完整邮件头，查找 dkim=pass。然后继续设置 DMARC 记录。 *DKIM CNAME 记录：Fastmail 和 Mailbox.org 的模式* ```dns ; Fastmail (replace example.com with your domain) fm1._domainkey.example.com. IN CNAME fm1.example.com.dkim.fmhosted.com. fm2._domainkey.example.com. IN CNAME fm2.example.com.dkim.fmhosted.com. fm3._domainkey.example.com. IN CNAME fm3.example.com.dkim.fmhosted.com. ; Mailbox.org MBO0001._domainkey.example.com. IN CNAME MBO0001._domainkey.mailbox.org. MBO0002._domainkey.example.com. IN CNAME MBO0002._domainkey.mailbox.org. MBO0003._domainkey.example.com. IN CNAME MBO0003._domainkey.mailbox.org. MBO0004._domainkey.example.com. IN CNAME MBO0004._domainkey.mailbox.org. ``` ## DKIM 如何运作？ **DKIM 让发送服务器用私钥为每封邮件签名，并让任何接收方用发布在 DNS 中的公钥检查签名。**签名位于 DKIM-Signature 邮件头中。它包含签名域名（d=）、selector（s=）、已签名的邮件头（h=）、正文哈希（bh=）和签名本身（b=）。RFC 6376 是一项 Internet Standard，定义了这些标签。 接收方根据 selector 和域名构建 DNS 名称：selector._domainkey.domain。对于 selector fm1 和域名 example.com，它会查询 fm1._domainkey.example.com。结果是一条包含 v=DKIM1、k=rsa 标签以及 p=（后接 base64 编码的公钥）的记录。空的 p= 表示密钥已被吊销。 有效的签名证明两件事：邮件由持有该域名私钥的系统签名，并且已签名的部分在传输中没有改变。它并不说明这封邮件是否受欢迎。这个判断属于 DMARC，详见 [SPF、DKIM 与 DMARC 的比较](https://postelva.com/zh/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?")。 ## 为什么服务商要求添加 CNAME 记录而不是密钥？ **CNAME 把密钥交给服务商：公钥保存在服务商的地址，服务商可以更换它而无需您编辑 DNS。**Proton Mail、Fastmail 和 Mailbox.org 都使用这种模式。它们的记录是从您的 selector 名称指向它们所控制的主机的 CNAME，该主机保存实际的密钥记录。 好处是密钥轮换。RFC 6376 建议在新的 selector 下发布新密钥，而不是重复使用 selector，Proton Mail 发布三个 selector（protonmail、protonmail2、protonmail3），让服务商有空间从一个密钥过渡到下一个。对您来说，代价是信任：您依赖服务商的主机持续应答。 根据 Postelva 在 2026 年 11 月 12 日的比较，其帮助页面上读到 DKIM 记录的三家服务商分别需要 3、4 和 3 条 CNAME 记录，共 10 条，并且没有一家要求 TXT 密钥。 ## DKIM 密钥应该多长？ **使用 2048 位 RSA 密钥；1024 位是 RFC 6376 对长期使用的密钥所允许的最小值。**该标准规定签名方必须使用至少 1024 位的 RSA 密钥，验证方必须能够检查 512 至 2048 位的密钥。Google 的发件人指南要求至少 1024 位，并推荐 2048 位。当服务商创建密钥时，如同上述 CNAME 设置，长度由它选择，您无需配置任何内容。 当您必须自己选择长度时，请选 2048。2048 位的密钥比 DNS 中一个 255 个字符的字符串更长，因此 TXT 值会被拆分为多个字符串，大多数 DNS 编辑器会自动完成。同样的编辑器限制也适用于[如何创建 SPF 记录](https://postelva.com/zh/guides/spf-record-setup/ "How to create an SPF record for a custom domain")中描述的 SPF 记录。 ## 我可以在一个域名上使用多个服务商吗？ **可以：每个服务商用自己的 selector 签名，所以它们的 DKIM 记录不会冲突。**原因就是 selector。Proton 使用 protonmail、protonmail2 和 protonmail3；Fastmail 使用 fm1、fm2 和 fm3；Mailbox.org 使用 MBO0001 至 MBO0004。以您的名义发送的新闻通讯工具会添加它自己的 selector。 SPF 则不同：它为所有发件方只保留一条记录，且有 10 次查询的限制。当您彻底离开一个服务商时，请在确认新服务商已能签名之后，再删除其 DKIM 记录，这样任何获得旧账户访问权限的人都无法使用被遗弃的密钥。完整的迁移顺序见[如何把邮件迁移到新服务商而不丢失邮件](https://postelva.com/zh/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail")。 ## 如何检查 DKIM 是否有效？ **用 dig 查询 selector，然后发送一封真实的邮件。**命令 dig CNAME fm1._domainkey.example.com +short 应该输出服务商的目标。对于 TXT 密钥，请改为查询 TXT。决定性的测试是一封邮件：收到副本的邮件头会显示接收服务器是否记录了 dkim=pass。 如果记录正确但检查仍然失败，常见原因有：主机名有误（DNS 编辑器把域名添加了两次）、缓存过期，或邮件是在服务商启用签名之前发送的。下一份指南[如何检查 MX、SPF、DKIM 和 DMARC 记录](https://postelva.com/zh/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records")列出了这些命令。Fastmail 的完整步骤见 [Fastmail 自定义域名指南](https://postelva.com/zh/guides/fastmail-custom-domain-setup/ "How to set up Fastmail with a custom domain")。 ## DKIM 设置常见问题 ### 什么是 DKIM selector？ selector 是签名方选择的标签，用于标识一个密钥，例如 fm1 或 protonmail。它让一个域名可以同时保留多个密钥，并在不中断服务的情况下轮换。 ### 如果我已有 SPF，还需要 DKIM 吗？ 需要。邮件被转发时 SPF 会失效，而只要邮件未被改动，DKIM 签名就仍然有效。Gmail 的批量发件人规则要求两者都有。 ### 为什么我的 DNS 编辑器拒绝以下划线开头的记录？ 像 _domainkey 这样的下划线名称在 DNS 中是有效的，尽管它们不是有效的主机名。请严格按服务商显示的内容输入主机，不要把域名添加两次。 ### 我可以更改 DKIM selector 吗？ 由服务商设定。Mailbox.org 使用 MBO0001 至 MBO0004，Fastmail 使用 fm1 至 fm3，Proton Mail 使用 protonmail 至 protonmail3。请保持名称不变。 ### DKIM 会加密邮件吗？ 不会。它为邮件签名以证明来源和完整性，并不隐藏内容。 **总结** - DKIM 为每封邮件签名；公钥位于 selector._domainkey.domain。 - Proton Mail 和 Fastmail 需要 3 条 CNAME 记录，Mailbox.org 需要 4 条。 - 请从服务商的界面准确复制名称和目标；Proton Mail 的目标是您的域名专有的。 - RFC 6376 要求签名方使用至少 1024 位的 RSA 密钥；推荐 2048 位。 - 每个服务商使用自己的 selector，因此多个服务商可以为同一个域名签名。 - 用 dig 和显示 dkim=pass 的真实邮件进行测试。 - Postelva 在免费 DNS 中托管这些记录；.com 每年 US$12.49/年。 ## 来源 1. [RFC 6376，DomainKeys Identified Mail (DKIM) 签名](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (查询日期 2026-11-12) 2. [电子邮件发件人指南](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (查询日期 2026-11-12) 3. [自定义域名与防伪造](https://proton.me/support/anti-spoofing-custom-domain) — Proton (查询日期 2026-11-12) 4. [自定义域名的 SPF、DKIM 和 DMARC](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (查询日期 2026-11-12) 5. [Fastmail DNS 帮助](https://www.fastmail.help/hc/en-us/articles/360060591153) — Fastmail (查询日期 2026-11-12) --- Postelva: Postelva 注册私人电子邮件域名——更换服务商后仍可继续使用的邮箱地址——使用加密货币支付，免 KYC：无需 ID，每个域名只需验证一个电子邮件地址。运营方为 DomaineGoat LLC，一家在巴拿马注册的公司；域名通过其获 ICANN 认证的注册商合作伙伴注册。.com 域名 US$12.49/年，每年价格相同。