要点速览
- 按邮件平台提供的原样输入域名和选择器。
- 检查工具会在
selector._domainkey.domain.com查找 TXT 记录，并显示已发布的值。 - 如果没有找到记录，请使用 DKIM 生成器格式化记录值，然后再验证 SPF 和 DMARC。
如何解读 DKIM 查询结果
DKIM 查询取决于两个输入：发件域名和选择器。选择器并不总能从域名本身看出来，它通常来自 Google Workspace、Microsoft 365、SendGrid、Mailgun、Postmark、Amazon SES，或为邮件签名的邮件服务器。如果选择器错误，即使 DKIM 已在另一个选择器下配置好，记录也可能看起来不存在。
找到记录后，确认其值以v=DKIM1开头，并在p=标签中包含公钥。有些服务商还会加入密钥类型或服务标签。运营上最重要的一点是：发布的公钥必须与发件方使用的私钥匹配。如果邮件平台轮换了密钥，DNS 记录也必须更新为新的公钥值。
如果没有找到 DKIM 记录，检查选择器是否有拼写错误，确认 DNS 主机名，并留出 DNS 生效的时间。有些 DNS 服务商只要求填写主机名中的选择器部分，有些则要求填写完整的selector._domainkey名称。记录可见后，发送一封小规模测试邮件并查看身份验证邮件头，确认 DKIM 在真实邮箱处理中能够通过。
使用发件平台设置页面中给出的准确选择器。除非服务商就是这样分配的，否则不要根据服务商名称猜测。
用检查工具查询选择器和域名，确认能返回 TXT 记录。
检查 SPF 和 DMARC，让域名具备发件授权、邮件签名和策略对齐。
发送前常见的 DKIM 故障
最常见的 DKIM 故障包括：选择器不匹配、粘贴的密钥缺少字符、DNS 记录拆分错误，以及密钥轮换后遗留旧密钥。另一个常见问题是只为根域名配置了身份验证，而活动却从子域名发送，反之亦然。务必检查发件人地址中实际使用的域名，以及发件方实际使用的选择器。
DKIM 只是收件箱信任的一部分。对于外联或营销活动，应将身份验证检查与列表验证结合。VeriMails 可以通过邮箱验证工具、验证 API或批量 CSV 验证帮助验证地址。身份验证确认邮件由谁发送，验证则降低发送到无效或高风险地址的概率。
面向多种发件平台的 DKIM 检查
一个域名往往有多个 DKIM 选择器。团队邮箱、生命周期邮件、电子报、陌生客户外联、客服软件和账单通知可能都以同一品牌发送，却使用不同的密钥签名。请逐一检查每个在用的选择器，而不只是检查在配置指南里看到的第一个。
简单记录选择器的归属：选择器名称、发件平台、域名或子域名、DNS 主机以及最近一次验证日期。当更换平台或密钥轮换产生新选择器时，这份记录会很有用。如果服务商说 DKIM 已启用，但检查工具找不到记录，归属清单能让您最快定位缺失的 DNS 主机。
对于营销活动发送，请在把列表导入序列工具或邮件平台之前完成这项检查。DKIM 结果正常并不能修复错误的收件人数据，但能在退信和互动信号开始影响域名之前，排除一个本可避免的身份验证问题。
如果有多个选择器在用，请检查下一次活动所用平台对应的那个。一个域名可能同时存在一个正常的 DKIM 选择器和一个出错的选择器，只测试最容易的那个，可能会让人误以为已准备就绪。
DKIM 检查工具常见问题
为什么找不到我的 DKIM 记录？
可能是选择器错误、DNS 主机名不完整、记录尚未生效，或 DKIM 发布在另一个发件域名下。
只用域名能检查 DKIM 吗？
不能。DKIM 需要选择器加域名。没有选择器，检查工具就不知道该查询哪个 DNS 主机。
DKIM 记录应包含什么内容？
大多数 DKIM 记录以 v=DKIM1 开头，并在 p= 标签中包含公钥。发件服务商可能会根据自身配置添加其他标签。
轮换密钥后需要检查 DKIM 吗？
需要。密钥轮换后，先确认新的选择器或更新后的公钥已在 DNS 中可见，再将其用于正式发送。