DKIM 紀錄產生器

如何正確準備 DKIM 紀錄

DKIM 紀錄發布在 selector 之下，而不是直接放在網域根目錄。selector 是電子郵件服務選定的簡短標籤，例如 google， selector1， s1，或mail。完整的 DNS 主機通常長這樣：selector._domainkey.example.com。TXT 值包含與郵件服務所用私密簽署金鑰相對應的公開金鑰。

當寄件服務提供了 selector 與公開金鑰，但 DNS 服務商需要整齊、可直接複製貼上的格式時，就使用這個產生器。貼上 base64 公開金鑰時，請去掉憑證的開頭與結尾行。產生的值會採用標準的 DKIM TXT 格式，包含v=DKIM1、金鑰類型與公開金鑰。

不要自行編造公開金鑰。用來簽署郵件的私密金鑰由寄送平台掌控，因此公開金鑰必須來自該平台。若您自行管理郵件伺服器，請在伺服器上產生金鑰組，只把公開金鑰發布到 DNS。妥善保管私密金鑰，並在存取權限變動時輪替金鑰。

DKIM 搭配 SPF、DMARC 與乾淨的寄送資料效果最好

DKIM 證明已簽署的郵件與寄件網域的公開金鑰相符，但送達率仍取決於整體設定。 SPF 用來識別獲准的寄件者。 DMARC 則定義信箱服務商該如何處理驗證失敗，以及 SPF 或 DKIM 是否與顯示的寄件者（From）網域對齊。

寄件者驗證設定完成後，也要維持收件者名單健康。即使郵件已簽署，若地址過時或無效仍可能退信。寄送較大型活動前，請先透過大量驗證驗證 CSV，並盡量將退信率維持在 3% 以下。若退信率進入 3-5% 範圍，請在下次寄送前清理名單；高於 5% 則為高風險。

實用的 DKIM 設定檢查清單

發布 DKIM 紀錄前，先確認 selector 屬於實際簽署郵件的同一個寄件服務。許多團隊會為 Google Workspace 使用一個 selector、為 Microsoft 365 使用另一個，並為 SendGrid、Mailgun、Postmark 或 Amazon SES 等平台各自設定 selector。分開 selector 能讓除錯更清楚，因為您能辨識每把金鑰屬於哪個服務。

發布後，等待 DNS 傳播再檢查 selector。若紀錄已可見，郵件卻仍未通過 DKIM，請寄一封測試郵件並檢查驗證標頭，就能知道寄件端是否使用預期的 selector 簽署，還是仍在使用舊金鑰。