Як налаштувати DKIM-підпис для пошти

DKIM (DomainKeys Identified Mail) — цифровий підпис, який сервер-відправник додає до кожного листа. Публічний ключ для перевірки підпису публікується в DNS домену. Сервер-одержувач перевіряє підпис і переконується, що лист надіслав саме ваш домен і його вміст не змінено.

Як це влаштовано

Ключ публікується в TXT-записі з іменем селектор._domainkey.example.com. Селектор — довільна назва ключа, вона вказана в заголовку кожного підписаного листа (s=). Завдяки селекторам в одного домену може бути кілька ключів — наприклад, окремо для хостингу, Google і сервісу розсилок.

default._domainkey  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

Пошта на хостингу з ISPmanager

Відкрийте Пошта → Поштові домени, оберіть домен і натисніть Змінити.
Увімкніть опцію DKIM і збережіть.
Якщо DNS домену обслуговується на цьому ж сервері, запис з'явиться в зоні автоматично. Якщо DNS керується деінде (Cloudflare, реєстратор), скопіюйте запис з DNS-зони в панелі та додайте його вручну.

Пошта на хостингу з cPanel

Відкрийте Email → Email Deliverability.
Біля домену натисніть Manage. Якщо DKIM має статус проблеми, натисніть Install the suggested record.
Якщо DNS керується в іншому місці, скопіюйте запропонований запис і додайте його там.

Google Workspace

Ключ створюється в консолі адміністратора: Програми → Google Workspace → Gmail → Автентифікація електронної пошти. Селектор за замовчуванням — google. Покроково — у статті «Як підключити домен до Google Workspace».

Microsoft 365

У Microsoft Defender (Політики → Автентифікація електронної пошти → DKIM) оберіть домен і створіть два CNAME-записи selector1._domainkey і selector2._domainkey, які видасть портал, а потім увімкніть підпис.

Власний поштовий сервер на VPS

Для Postfix використовують OpenDKIM або Rspamd. Згенеруйте ключ довжиною 2048 біт, налаштуйте підпис для свого домену й опублікуйте публічну частину ключа в DNS.

Перевірка

Введіть домен і селектор у нашу перевірку DKIM — вона покаже, чи опубліковано ключ і чи правильний він.
Надішліть лист на Gmail і відкрийте Показати оригінал: у рядку DKIM має бути PASS з вашим доменом.

Довгий ключ 2048 біт може не поміститися в одне поле TXT у деяких панелях. Значення тоді розбивається на кілька рядків у лапках — DNS-сервери склеюють їх автоматично.