DKIM
DKIM (DomainKeys Identified Mail) je kryptografický podpis hlaviček a těla e-mailu, který příjemce ověří veřejným klíčem zveřejněným v DNS podepisující domény.
Odesílající server podepíše vybrané hlavičky (From, Subject, Date, To…) a hash těla soukromým klíčem a výsledek vloží do hlavičky DKIM-Signature. V ní je mimo jiné doména (d=) a selektor (s=), podle kterých příjemce najde v DNS TXT záznam selektor._domainkey.domena a získá veřejný klíč. Pokud podpis sedí, má příjemce jistotu, že zprávu odeslal někdo s přístupem ke klíči domény a že se po cestě nezměnila.
Na rozdíl od SPF přežije DKIM přeposílání, protože nezávisí na IP adrese. Proto je pro DMARC důležitější než SPF. Doporučená délka klíče je 2048 bitů; klíče 1024 bitů Gmail zatím akceptuje, ale kontrolní nástroje je označují za slabé. Selektor umožňuje mít na doméně více klíčů najednou a bez výpadku je rotovat.
DKIM-Signature: v=1; a=rsa-sha256; d=firma.cz; s=te1;
h=from:to:subject:date:message-id; bh=…; b=…
te1._domainkey.firma.cz. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A…"TopEmail podepisuje každý e-mail DKIM klíčem vaší domény (2048 bitů); soukromý klíč je uložen šifrovaně a veřejný klíč zveřejníte jedním CNAME nebo TXT záznamem z průvodce.