Odesílací systém podepisuje hash pokrývající specifikovaná pole hlaviček a obsah těla privátním klíčem. Přijímající systém získá odpovídající veřejný klíč z DNS pomocí podepisující domény a selektoru v hlavičce DKIM-Signature a ověří, zda pokrytý obsah stále odpovídá.
Platný podpis DKIM ukazuje, že podepisující doména převzala za zprávu odpovědnost a že podepsaný obsah nebyl po podepsání změněn žádným způsobem, který podpis detekuje. Protože ověření je vázáno na obsah zprávy spíše než na poslední odesílací IP adresu, podpis může přežít přeposlání, když zpráva zůstane nezměněná.
Klíčové body
Podepisující identitaZnačka d= identifikuje podepisující doménu; selektor s= identifikuje záznam klíče v DNS a podporuje oddělené odesílatele a rotaci klíčů.
Příspěvek DMARCDKIM může uspokojit DMARC, když podpis projde a jeho podepisující doména se sladí s doménou viditelnou v poli From.
Provozní disciplínaChraňte privátní klíče, používejte aktuální algoritmy a vhodné velikosti klíčů, rotujte klíče, vyřazujte staré selektory a monitorujte výsledky autentizace.
Důležité omezeníPatičky poštovních konferencí, změny předmětu, transformace bran či jiné modifikace mohou podpis zneplatnit. Podpis také chrání pouze obsah vybraný podepisovatelem.