Der sendende Server bildet einen Hash über ausgewählte Header und den Body und fügt das Ergebnis als DKIM-Signature-Header ein. Darin stehen die Domain (d=) und ein Selector (s=). Der Empfänger holt den Schlüssel unter selector._domainkey.domain per TXT-Abfrage.
Anders als SPF überlebt DKIM Weiterleitungen, solange die Nachricht unverändert bleibt. Über Selectoren können mehrere Dienste (eigener Server, Microsoft 365, Newsletter-Tool) eigene Schlüssel nutzen und Schlüssel ohne Ausfall gewechselt werden.
Typische Gründe für dkim=fail: Mailinglisten oder Gateways, die Betreff oder Body verändern, ein abgeschnittener Schlüssel im DNS, oder der Signaturdienst signiert mit einer anderen Domain als im From-Header.
Beispiel
dig +short TXT mail2024._domainkey.example.com