DKIM是什么？企业邮箱为什么要配置DKIM？
在配置Google Workspace或者其他企业邮箱时，除了MX和SPF之外，经常还会遇到另外一个重要的邮件身份验证机制：
DKIM。
上一篇我们介绍了SPF。
SPF主要用于声明哪些邮件服务器或者服务被授权代表一个域名发送邮件。
而DKIM采用了不同的验证方式。
它会通过数字签名帮助接收方验证邮件与发送域名之间的关系，并检查邮件中的相关内容在传输过程中是否发生异常修改。
那么DKIM到底是什么？
DKIM记录应该配置在哪里？
它和SPF、DMARC又有什么区别？
本文从基础概念开始介绍。
一、DKIM是什么？
DKIM全称为：
DomainKeys Identified Mail
它是一种电子邮件身份验证机制。
简单来说，发送邮件时，邮件服务器可以使用私钥对邮件中的相关内容生成数字签名。
这个签名会随邮件一起发送。
接收方收到邮件以后，可以通过发送域名DNS中公布的DKIM公钥，对邮件中的DKIM签名进行验证。
因此，可以把DKIM简单理解成：
给发送出去的邮件添加一个可以验证的“数字签名”。
二、为什么企业邮箱需要DKIM？
假设企业拥有域名：
并使用：
向客户发送邮件。
接收方收到邮件以后，希望判断这封邮件是否经过example.com对应邮件系统的授权签名，以及邮件中的相关签名内容是否能够通过验证。
DKIM就是解决这个问题的重要机制之一。
正确配置以后，企业邮件系统可以对发送出去的邮件进行DKIM签名。
接收方邮件服务器则可以查询DNS中的DKIM公钥并验证签名。
三、DKIM是怎么工作的？
可以通过一个简化流程理解。
企业拥有：
↓
企业邮箱系统生成DKIM密钥
↓
私钥保存在邮件发送系统
↓
公钥通过DNS发布
↓
企业发送邮件
↓
邮件服务器使用私钥生成DKIM签名
↓
接收服务器收到邮件
↓
查询example.com对应的DKIM公钥
↓
验证邮件中的DKIM签名
↓
得到验证结果
实际的DKIM机制更加复杂，但对于普通企业邮箱管理员来说，理解这个基本过程已经足够。
四、什么是DKIM公钥和私钥？
DKIM使用的是非对称加密相关技术。
通常会涉及：
私钥
公钥
两部分。
私钥由邮件发送系统保存，用于对邮件生成签名。
公钥则通过DNS公开。
接收邮件服务器可以获取公钥，对收到邮件中的DKIM签名进行验证。
简单理解：
私钥：
用于签名。
公钥：
用于验证签名。
企业管理员通常不需要手动计算这些加密内容。
Google Workspace等邮件服务一般会提供相应的配置流程。
五、DKIM记录配置在哪里？
DKIM的公钥信息通常通过域名DNS发布。
根据邮件服务商的配置方式，管理员可能需要添加TXT或者服务商指定的其他DNS记录。
记录名称通常还会涉及：
Selector
也就是“选择器”。
因此在配置DKIM时，经常会看到类似：
selector._domainkey.example.com
这样的结构。
其中：
是域名。
_domainkey
与DKIM相关。
selector
则用于标识对应的DKIM密钥。
具体名称和记录值应该按照实际邮件服务商提供的信息填写。
六、DKIM Selector是什么？
Selector是DKIM中一个比较重要的概念。
一个域名可能在不同时间或者不同邮件系统中使用不同的DKIM密钥。
Selector可以帮助接收方确定：
应该查询哪一个DKIM公钥。
邮件中的DKIM签名会包含相应信息。
接收服务器根据这些信息，到DNS查询对应的公钥并进行验证。
因此不要随意修改邮件服务商提供的Selector。
七、Google Workspace为什么要配置DKIM？
如果使用Google Workspace和自己的企业域名发送邮件，可以根据Google Workspace当前提供的管理员配置流程启用DKIM邮件身份验证。
一般情况下，需要：
在管理环境中获取相应的DKIM配置信息
↓
进入域名DNS管理平台
↓
添加对应DNS记录
↓
等待DNS记录生效
↓
回到相应管理环境完成后续启用或验证
具体操作和记录值可能随着服务调整而发生变化。
因此实际配置时，应该以Google当前官方文档以及Google Workspace管理后台提供的信息为准。
不要直接复制其他域名的DKIM记录。
八、DKIM和SPF有什么区别？
SPF和DKIM都属于邮件身份验证机制，但工作方式不同。
SPF主要关注：
发送邮件的服务器是否属于域名授权的发送来源。
DKIM主要关注：
邮件是否带有可以通过域名DNS公钥验证的数字签名。
可以简单记成：
SPF = 发信来源授权
DKIM = 邮件数字签名
两者不是互相替代的关系。
现代企业邮箱通常会同时配置SPF和DKIM。
九、DKIM和MX记录有什么区别？
MX和DKIM解决的是完全不同的问题。
MX主要告诉其他邮件服务器：
发送给这个域名的邮件应该送到哪里。
DKIM主要用于：
验证发送邮件上的数字签名。
所以可以简单理解：
MX = 邮件接收路径
SPF = 发信来源授权
DKIM = 邮件数字签名
这三个概念分清楚以后，企业邮箱DNS配置就容易理解很多。
十、DKIM和DMARC有什么关系？
DMARC会结合SPF、DKIM及域名对齐等机制，对邮件身份验证结果进行进一步处理。
例如域名管理员可以通过DMARC发布策略，告诉接收服务器：
如果相关邮件没有通过要求的身份验证和对齐检查，应该采取什么处理策略。
DMARC还提供报告机制。
因此，可以把这几个概念按照下面的思路理解：
SPF：
检查发送来源。
DKIM：
验证数字签名。
DMARC：
结合身份验证与域名对齐结果执行策略并提供报告。
下一篇文章我们会专门介绍DMARC。
十一、配置DKIM有什么作用？
对于企业域名邮件来说，DKIM是现代邮件身份验证体系中的重要组成部分。
正确配置DKIM可以帮助接收服务器验证：
邮件是否具有相应域名的有效DKIM签名
签名所覆盖的邮件内容是否能够通过完整性验证
它还可以与SPF和DMARC配合，形成更加完整的域名邮件身份验证体系。
需要注意：
配置DKIM并不意味着所有邮件都会进入收件箱。
邮件最终如何处理仍然取决于接收邮件平台的综合判断。
十二、DKIM配置错误会怎么样？
常见问题可能包括：
DNS记录填写错误
Selector填写错误
公钥内容不完整
DNS记录尚未生效
更换密钥后仍然使用旧记录
邮件系统没有真正启用DKIM签名
如果DKIM配置存在问题，接收方可能无法正确验证邮件签名。
因此配置完成以后，应该检查实际发送邮件的身份验证结果，而不是只确认DNS后台存在一条记录。
十三、怎么知道邮件有没有通过DKIM？
很多邮件服务会在邮件原始信息或者邮件头中显示身份验证结果。
通常可能看到类似：
DKIM
SPF
DMARC
以及对应的验证状态。
具体查看方法根据邮箱服务不同而有所区别。
如果正在测试自己的企业邮箱，可以：
向另一个邮箱发送测试邮件
查看收到邮件的原始信息或邮件头
检查DKIM验证状态
同时检查SPF和DMARC状态
这样可以判断邮件身份验证是否正常工作。
十四、DKIM配置后需要经常修改吗？
一般情况下不需要频繁修改。
但是部分企业或者邮件服务可能会定期轮换DKIM密钥。
另外，在以下情况下也可能需要重新检查DKIM：
更换企业邮箱服务商
更换邮件发送平台
增加第三方邮件服务
修改域名DNS
更换DKIM密钥
迁移企业邮件系统
如果业务环境发生变化，应该确认旧的DKIM配置是否仍然需要保留。
十五、第三方邮件平台也需要DKIM吗？
如果企业除了Google Workspace等企业邮箱之外，还使用：
网站通知邮件
订单邮件
客服系统
CRM
邮件营销平台
其他第三方发信服务
这些平台也可能要求配置自己的DKIM记录。
一个域名可以通过不同Selector支持不同的DKIM密钥。
因此多个邮件服务可以存在各自对应的DKIM配置。
但是必须按照各服务商提供的要求正确设置。
不要把一个平台提供的DKIM记录直接用于另一个平台。
十六、SPF和DKIM配置好以后还需要什么？
完成SPF和DKIM以后，下一步通常值得了解的是：
DMARC。
DMARC可以结合SPF和DKIM的身份验证结果以及域名对齐关系，帮助域名管理员进一步制定邮件处理策略。
因此，对于企业邮箱新手来说，推荐按照这个顺序理解：
第一步：
域名和DNS
第二步：
MX
第三步：
SPF
第四步：
DKIM
第五步：
DMARC
这样学习企业邮箱配置会更加清晰。
十七、总结
DKIM是企业邮箱常见的邮件身份验证机制之一。
它通过数字签名帮助接收服务器验证邮件。
可以简单记住：
MX = 邮件接收路径
SPF = 发信来源授权
DKIM = 邮件数字签名
DMARC = 身份验证策略、域名对齐与报告
如果使用Google Workspace或者其他企业邮箱服务，通过自己的域名发送邮件，建议按照服务商当前提供的官方说明正确配置相关邮件身份验证记录。
同时不要认为：
配置DKIM = 邮件一定进入收件箱。
DKIM只是整个邮件身份验证和邮件信誉体系中的一个重要组成部分。
相关阅读：