DKIM（DomainKeys Identified Mail，域密钥识别邮件）由IETF RFC 6376定义，是一套基于公钥密码学的邮件签名验证机制。与SPF验证「发送来源」不同，DKIM验证的是「内容完整性」和「发送者身份关联性」。发送方MTA使用域名的私钥对选定的邮件头部字段和正文生成数字签名，接收方通过查询DNS中的公钥来验证签名的有效性。DKIM的出现有效填补了SPF无法检测的内容篡改和中间人攻击的防护空白。本文将系统性地讲解DKIM的密码学基础、签名结构、密钥管理策略和故障排查方法。

一、DKIM 的密码学基础

二、DKIM-Signature 头部字段解析

三、Selector 选择器机制

四、密钥轮换策略

五、常见故障排查

六、DKIM、SPF 与 DMARC 的三角关系

总结

参考来源：IETF RFC 6376 - DomainKeys Identified Mail (DKIM) Signatures；IETF RFC 8301 - Cryptographic Algorithm and Key Usage Update to DKIM；NIST SP 800-177 Rev.1 - Trustworthy Email；OpenDKIM 开源项目文档 (Trusted Domain Project)；UK NCSC - Email security and anti-spoofing guidance。