System nadawczy podpisuje hasz obejmujący określone pola nagłówka i treść ciała kluczem prywatnym. System odbierający pobiera odpowiadający klucz publiczny z DNS, używając domeny podpisującej i selektora z nagłówka DKIM-Signature, i weryfikuje, czy objęta treść nadal pasuje.
Ważny podpis DKIM pokazuje, że domena podpisująca wzięła odpowiedzialność za wiadomość i że podpisana treść nie została zmieniona po podpisaniu w żaden wykrywalny przez podpis sposób. Ponieważ weryfikacja jest związana z treścią wiadomości, a nie ostatnim adresem IP nadawcy, podpis może przetrwać przekazanie, gdy wiadomość pozostaje niezmieniona.
Najważniejsze punkty
Tożsamość podpisującaTag d= identyfikuje domenę podpisującą; selektor s= identyfikuje rekord klucza DNS i wspiera osobnych nadawców oraz rotację kluczy.
Wkład do DMARCDKIM może zaspokoić DMARC, gdy podpis przechodzi i jego domena podpisująca wyrównuje się z domeną widoczną w polu From.
Dyscyplina operacyjnaChroń klucze prywatne, używaj aktualnych algorytmów i odpowiednich rozmiarów kluczy, rotuj klucze, wycofuj stare selektory i monitoruj wyniki uwierzytelniania.
Istotne ograniczenieStopki list mailingowych, zmiany tematu, transformacje bramowe lub inne modyfikacje mogą unieważnić podpis. Podpis chroni też tylko treść wybraną przez podpisującego.