DKIM（域名密钥识别邮件）

DKIM(DomainKeys Identified Mail,域名密钥识别邮件)是一种基于公钥密码学的电子邮件身份验证标准,由 RFC 6376 定义。它让发送方在邮件中嵌入一段加密签名,接收方据此验证邮件来源域名的真实性以及内容的完整性。

概述

传统 SMTP 协议在设计时没有身份验证机制,任何人都能伪造发件人地址,这为垃圾邮件和钓鱼攻击提供了土壤。DKIM 通过在发信域的 DNS 记录中发布公钥,并用对应私钥对邮件签名,使收件服务器能够独立核实邮件是否真的由该域名授权发出。DKIM 与 SPF、DMARC 常配合使用,构成现代反欺诈邮件体系的三大支柱。

核心原理

• 发件服务器用私钥对邮件头部选定字段和正文哈希进行签名,生成 DKIM-Signature 头,其中包含签名域名(d 标签)和选择器(s 标签)。
• 收件服务器从签名头读取域名与选择器,拼出形如 selector._domainkey.example.com 的域名,查询该处的 TXT 记录获取公钥。
• 收件服务器用公钥验证签名,若通过则说明签名字段和正文未被修改,且确由持有私钥的域名发出。
• 签名验证与邮件内容的实际发信 IP 无关,因此邮件即使经过多级转发,只要正文和签名字段不变仍可验证通过。

应用场景

几乎所有主流邮件服务商(如企业邮箱、营销邮件平台)都要求为发信域配置 DKIM,以提升邮件送达率、降低被判为垃圾邮件的概率。银行、电商等对品牌信誉敏感的机构尤其依赖它防止他人冒名发信。

常见问题

问:配置了 DKIM 就能保证邮件不被篡改吗?答:DKIM 只保证被签名覆盖的字段和正文完整,某些头部字段可能不在签名范围内;此外它不加密邮件内容,只做真实性和完整性校验。

问:DKIM 和 SPF 有何区别?答:SPF 校验发信 IP 是否被域名授权,DKIM 校验邮件内容签名是否有效,两者角度不同、可互补,单独任一都不够健全。