Il server mittente calcola un hash su alcuni header e sul corpo e lo aggiunge come header DKIM-Signature. Contiene il dominio firmatario (d=) e un selector (s=). Il destinatario recupera la chiave da selector._domainkey.dominio con una query TXT.
A differenza di SPF, DKIM sopravvive all'inoltro finché il messaggio non viene modificato. I selector permettono a più servizi (il tuo server, Microsoft 365, uno strumento di newsletter) di usare chiavi separate e di ruotarle senza interruzioni.
Cause tipiche di dkim=fail: mailing list o gateway che modificano oggetto o corpo, una chiave troncata nel DNS, oppure un servizio che firma con un dominio diverso da quello nell'header From.
Esempio
dig +short TXT mail2024._domainkey.example.com