DKIM（DomainKeys Identified Mail）也是 DNS 端的寄件人驗證，但方向與 SPF 相反：它讓您寄出的信件帶上數位簽章，收件端再用您網域 DNS 上的公開金鑰驗證「這封信確實由您的網域寄出、而且內容沒有被竄改」。
與 SPF 不同，本頁會實際產生簽章金鑰，並提供要填入 DNS 的 TXT 紀錄內容，屬於真正的簽章設定；同時也能對來信做簽章驗證。本頁共兩個頁籤：簽章設定、簽章驗證。
什麼時候會用到這一頁：
- 您寄出的信被對方標記為垃圾信或懷疑是偽造，需要加上可驗證的簽章
- 已完成 SPF，想再補上 DKIM 讓驗證更完整（DMARC 需要兩者）
- 想對來信做簽章驗證，攔下簽章錯誤或完全沒有簽章的來源
簽章設定（簽章您寄出的信）
啟用 DKIM
- 開關，出廠預設為關閉
- 開啟後才會對您寄出的信加上簽章
簽署的網域
- 選填，最長 255 字元，出廠預設為空白
- 要簽署的網域名稱，多個網域請用逗號分隔，例如
yourcompany.com,mail.yourcompany.com - 只有列在這裡的網域寄出的信才會被簽章；留空等於沒有指定網域，等於沒有作用
選擇器名稱
- 選填，最長 64 字元，只能使用英文字母與數字（不接受
-、_、.），預設default - 這是 DNS TXT 紀錄的選擇器名稱，也就是記錄名稱
選擇器._domainkey的第一段 - 不建議修改：改了選擇器，DNS 端的記錄名稱也要跟著改，否則驗證會失敗
密鑰比特數
- 必選，只能選 1024（預設）或 2048
- 2048 位元安全性較高，但簽章較長、部分舊系統可能不好處理；一般情況用預設 1024 即可
- ⚠️ 更換此值時，KEY 與 TXT 會強制更新，您必須同步更新 DNS 上的 TXT 紀錄
簽章密鑰產生
決定按下儲存後如何處理 KEY 與 TXT，三個選項：
- 保持目前（預設）：不動現有金鑰
- 重新產生：由系統重新產生一組 KEY 與 TXT（首次設定通常選這個）
- 上傳更新：由您自行把既有金鑰貼入下方「簽章密鑰」欄位
簽章密鑰
- 系統產生的私密金鑰，請務必將此欄位內容備份（複製留存到安全的地方）
- 此欄位與下方 DNS TXT 紀錄為配對關係，任一方被修改就無法驗證郵件真實性
- 遺失金鑰時只能重新產生一組並更新 DNS，期間簽章驗證會失效
DNS TXT 紀錄
- 此欄位內容由系統產生，不需手改
- 需請網域名稱管理員新增一筆 TXT 紀錄，格式為：
default._domainkey IN TXT 複製本欄位內容
其中 default 就是您在上方設定的「選擇器名稱」。實際的字串很長（包含 v=DKIM1; k=rsa; p=...），請完整複製、不要斷行或漏字元。
簽章驗證（處理來信）
這個頁籤決定「別人寄來的信」要怎麼驗：
詳細記錄簽章原因
- 開關，出廠預設關閉
- 開啟後會記錄簽署或驗證訊息背後的判斷邏輯，通常只用於除錯。平時建議保持關閉，以免日誌暴增
運作模式
- 必選，三個選項：
寄信與來信都簽章及驗證（預設）僅在寄信時簽章僅對來信進行驗證
- 只在意「保護自己寄出的信」可選第二項；只在意「檢查別人寄來的信」可選第三項
未簽章處理
- 必選，預設接受
- 來源郵件沒有簽章時的處理：
接受（預設）／拒絕／丟棄 - ⚠️ 改成「拒絕」或「丟棄」會擋掉大量正常來源——目前網路上仍有許多主機沒有設 DKIM，請務必先觀察日誌再決定
簽章錯誤處理
- 必選，預設拒絕
- 來源郵件有簽章但驗證失敗時的處理：
接受／拒絕（預設）／丟棄 - 驗證失敗通常代表信件在傳遞過程中被竄改，或對方 DNS 記錄設錯；保持預設「拒絕」是合理的
例外網域（絕對放行）
- 選填，出廠預設為空白，每行一個網域（例：
example.com） - 這些網域的郵件不會進行簽章或驗證
怎麼設定（首次完整流程）
- 在「簽章設定」頁籤開啟 DKIM，輸入要簽署的網域（例：
yourcompany.com） - 「簽章密鑰產生」選重新產生（首次設定），按儲存 → 畫面顯示「DKIM 設定已儲存」
- 複製「簽章密鑰」留存備份，並複製「DNS TXT 紀錄」內容
- 到您的 DNS 管理介面新增 TXT 紀錄，名稱
default._domainkey，值貼上剛才複製的內容 - 切到「簽章驗證」頁籤，設定運作模式與未簽章／簽章錯誤的處理政策後儲存
- 等 DNS 生效（依 TTL，通常數分鐘到數小時），可按頁面上方的「重新啟動」重啟 OpenDKIM（成功顯示「OpenDKIM 服務已重啟」）
常見誤解與陷阱
- 金鑰與 TXT 必須成對：只改了一邊，收信端就無法驗證
- 重新產生＝舊記錄立刻失效：若您已經在 DNS 設過舊的 TXT，切換為「重新產生」後務必立刻更新 DNS，否則簽章會驗不過
- 還沒設好 DNS 就先開嚴格政策最危險：在 DNS TXT 尚未生效前，「簽章錯誤處理」設為拒絕／丟棄可能擋掉正常信件。建議先確認 DNS 生效後再收緊
- 選擇器不要亂改：改了要同步改 DNS 記錄名稱
- 簽章與 SPF 是互補的：SPF 驗來源主機、DKIM 驗內容完整性與網域；DMARC 則同時參考兩者
與其他功能的關聯
- SPF 設定見（郵件伺服器 / SPF 管理）；DMARC 政策見（郵件伺服器 / Dmarc 管理）
- 簽章與驗證的過程可查（系統日誌 / SMTP日誌）
- 頁面上方顯示 OpenDKIM 服務狀態並提供「重新啟動」；重啟失敗會顯示「重啟 OpenDKIM 服務失敗：（原因）」，重啟期間簽章與驗證短暫中斷
- 本頁的設定變更都會寫入操作日誌（系統日誌 / 操作日誌）