DKIM 記錄產生器

什麼是 DKIM？它如何運作？

DKIM（DomainKeys Identified Mail）是一種郵件認證方法，允許寄件方對每封出站郵件進行密碼學簽名。收件郵件伺服器使用寄件方 DNS 中發佈的公鑰驗證該簽名。有效的 DKIM 簽名可證明兩點：郵件確實來自聲明的網域，且傳輸過程中未被竄改。

與對照允許列表檢查發送 IP 的 SPF 不同，DKIM 透過將數位簽名附加到郵件本身來運作。因此 DKIM 驗證在郵件轉發後仍能成立，而 SPF 常因轉發伺服器 IP 不在原始 SPF 記錄中而失敗。

理解 DKIM DNS 記錄格式

DKIM 記錄是發佈在特定子網域上的 DNS TXT 記錄：selector._domainkey.yourdomain.com。選擇器是你選擇的標籤——常見值為 mail、google、s1 或 default。記錄值以 v=DKIM1; k=rsa; p= 開頭，後接 base64 編碼的公鑰。

私鑰保存在郵件伺服器上，或由郵件服務提供商管理，需保密。你發佈到 DNS 的是公鑰。收件伺服器用公鑰驗證私鑰建立的簽名——這是經典的公鑰密碼學模式。

在哪裡找到你的 DKIM 公鑰

啟用 DKIM 簽名時，郵件服務商會產生 DKIM 公鑰。以下是最常見服務商中的查找位置：

• Google Workspace：管理控制台 → 應用程式 → Google Workspace → Gmail → 驗證電子郵件。產生新金鑰並複製 TXT 記錄值。
• Microsoft 365：Exchange 管理中心 → 保護 → DKIM。為網域啟用 DKIM 並複製 CNAME 記錄（Microsoft 使用 CNAME，而非直接 TXT 記錄）。
• Mailchimp：帳戶 → 網域 → 驗證網域。Mailchimp 會提供需新增到 DNS 的 DKIM TXT 記錄值。
• SendGrid：設定 → 寄件人身分驗證 → 網域身分驗證。SendGrid 會為你產生完整的 DKIM TXT 記錄。
• 自託管（Postfix、Exim）：使用 opendkim-genkey 產生金鑰對。公鑰檔案中包含 TXT 記錄值。

DKIM 最佳實務

盡可能使用 2048 位元金鑰長度——1024 位元金鑰被視為較弱，可能被部分郵件系統標記。定期輪換 DKIM 金鑰（至少每年一次），以在金鑰外洩時限制暴露範圍。輪換後將舊金鑰在 DNS 中保留數日，以便在途郵件仍能通過驗證。

僅靠 DKIM 無法保護可見的 From 標頭。要完成郵件認證設定，請新增將 DKIM 結果與 From 網域對齊的 DMARC 策略。乾淨的信箱名單同樣重要——即使已通過認證，若反覆退信仍會進入垃圾郵件。使用 信箱驗證 移除無效位址，或使用 批次信箱驗證驗證大型名單。