Sistemul de trimitere semnează un hash care acoperă câmpuri de antet specificate și conținutul corpului cu o cheie privată. Un sistem receptor preia cheia publică corespunzătoare din DNS, folosind domeniul de semnare și selectorul din antetul DKIM-Signature, și verifică dacă conținutul acoperit încă se potrivește.
O semnătură DKIM validă arată că domeniul de semnare și-a asumat responsabilitatea pentru mesaj și că conținutul semnat nu a fost modificat după semnare în niciun fel pe care semnătura îl detectează. Deoarece verificarea este legată de conținutul mesajului, nu de ultima adresă IP de trimitere, o semnătură poate supraviețui forwarding-ului când mesajul rămâne neschimbat.
Puncte esențiale
Identitatea de semnareEticheta d= identifică domeniul de semnare; selectorul s= identifică înregistrarea de cheie DNS și sprijină expeditori separați și rotația cheilor.
Contribuția la DMARCDKIM poate satisface DMARC când semnătura trece și domeniul său de semnare se aliniază cu domeniul vizibil în câmpul From.
Disciplină operaționalăProtejați cheile private, folosiți algoritmi actuali și dimensiuni de chei adecvate, rotiți cheile, retrageți selectorii vechi și monitorizați rezultatele autentificării.
Limitare importantăSubsolurile listelor de discuții, modificările de subiect, transformările de gateway sau alte modificări pot invalida o semnătură. O semnătură protejează și doar conținutul selectat de semnatar.