DKIM 紀錄產生器

什麼是 DKIM？它如何運作？

DKIM（DomainKeys Identified Mail）是一種郵件驗證方法，讓寄件者能以密碼學方式簽署每封外寄郵件。收件郵件伺服器會使用寄件者 DNS 中發布的公開金鑰來驗證此簽章。有效的 DKIM 簽章可證明兩件事：郵件確實來自所稱網域，以及郵件在傳輸過程中未被竄改。

與檢查寄送 IP 是否在允許清單中的 SPF 不同，DKIM 是將數位簽章附加在郵件本身。因此 DKIM 驗證在郵件轉寄後仍然有效，而 SPF 常因轉寄伺服器的 IP 不在原始 SPF 紀錄中而失敗。

了解 DKIM DNS 紀錄格式

DKIM 紀錄是發布在特定子網域上的 DNS TXT 紀錄：selector._domainkey.yourdomain.com。選擇器是您自行指定的標籤——常見值為 mail、google、s1 或 default。紀錄值以 v=DKIM1; k=rsa; p= 開頭，後接以 base64 編碼的公開金鑰。

私密金鑰由郵件伺服器保密保存，或由電子郵件服務供應商管理。公開金鑰則發布在 DNS 中。收件伺服器使用公開金鑰驗證由私密金鑰建立的簽章——這是典型的公開金鑰密碼學模式。

在哪裡找到您的 DKIM 公開金鑰

啟用 DKIM 簽署時，郵件服務供應商會產生 DKIM 公開金鑰。以下是最常見供應商的查找位置：

• Google Workspace：管理主控台 → Apps → Google Workspace → Gmail → Authenticate email。產生新金鑰並複製 TXT 紀錄值。
• Microsoft 365：Exchange 系統管理中心 → Protection → DKIM。為您的網域啟用 DKIM，並複製 CNAME 紀錄（Microsoft 使用 CNAME，而非直接的 TXT 紀錄）。
• Mailchimp：Account → Domains → Verify a domain。Mailchimp 會提供要加入 DNS 的 DKIM TXT 紀錄值。
• SendGrid：Settings → Sender Authentication → Domain Authentication。SendGrid 會為您產生完整的 DKIM TXT 紀錄。
• 自行託管（Postfix、Exim）：使用 opendkim-genkey 產生金鑰對。公開金鑰檔案包含 TXT 紀錄值。

DKIM 最佳實務

盡可能使用 2048 位元金鑰長度——1024 位元金鑰被視為偏弱，部分郵件系統可能會標記。請定期輪替 DKIM 金鑰（至少每年一次），以降低金鑰一旦外洩的風險。輪替後請將舊金鑰在 DNS 中保留數日，讓仍在傳輸中的郵件完成驗證。

單靠 DKIM 無法保護可見的 From 標頭。要完成郵件驗證設定，請新增將 DKIM 結果與 From 網域對齊的 DMARC 政策。乾淨的郵件清單同樣重要——即使已通過驗證的郵件，若反覆退信仍會進入垃圾郵件。請使用 電子郵件驗證 來移除無效地址；大型清單請使用 批量電子郵件驗證。