Что такое DKIM?
DKIM добавляет криптографическую подпись к выбранным заголовкам и публикует открытый ключ в DNS.
Ключи и селектор
Закрытый ключ хранится у отправителя. Получатель получает открытый ключ из selector._domainkey.example.com. s= — селектор, d= — домен подписи.
Что подтверждает подпись
Получатель проверяет выбранные заголовки и хеш тела письма после доставки. Для ротации сначала публикуют новый селектор.
DKIM и DMARC
DKIM PASS не означает автоматическую защиту From: сервис может подписывать своим d=. Для DMARC нужен alignment.