Ubuntu 22.04下OpenDKIM提示‘key not secure’问题求助

你遇到的这个“key not secure”提示，本质是OpenDKIM在验证DNSSEC签名时未通过，结合你提到dig查询缺失ad（Authenticated Data）标志的情况，我们可以从DNSSEC链路的各个环节逐一排查修复：

1. 确认域名DNSSEC的全局有效性 #

首先要排查最基础的环节：你的域名是否在注册商层面开启了DNSSEC，并且DNS服务商（比如Cloudflare、Route53等）已配置对应的DS记录。很多时候这个环节容易被忽略——如果域名本身没有在注册商侧启用DNSSEC，哪怕DNS服务器上配置了DNSKEY，整个验证链也是断裂的。

你可以用这条命令检查域名的DS记录状态：

dig mydomain.com DS +dnssec

如果返回结果包含DS记录且带有ad标志，说明域名层面的DNSSEC是有效的；如果没有DS记录，第一步就是去域名注册商后台开启DNSSEC，并添加DNS服务商提供的DS记录。

2. 验证DKIM密钥的DNSSEC签名完整性 #

确认selector._domainkey.mydomain.com的DNS记录不仅内容和本地selector.txt一致，还必须带有DNSSEC签名。执行以下命令检查：

dig selector._domainkey.mydomain.com DNSKEY +dnssec

查看返回结果中是否有匹配本地密钥的DNSKEY条目，以及对应的RRSIG签名记录。如果没有RRSIG，说明你的DNS服务商没有为这条DKIM记录生成DNSSEC签名，需要在DNS后台开启对应域名的DNSSEC功能。

3. 检查本地DNS服务的DNSSEC支持 #

如果你的服务器使用本地DNS服务（比如systemd-resolved或Bind），要确保它已启用DNSSEC验证：

• 对于systemd-resolved，编辑/etc/systemd/resolved.conf：

  DNSSEC=yes
  DNSSECAllowDowngrade=no
  

  保存后重启服务：

  sudo systemctl restart systemd-resolved
  

之后再用dig查询DKIM记录，看是否能出现ad标志。

4. 优化OpenDKIM的DNSSEC配置 #

除了已启用的TrustAnchorFile，检查/etc/opendkim.conf的其他相关配置：

• 确保UseDNSSEC设置为yes（默认是yes，但建议手动确认）
• 可以临时添加RequireDNSSEC no测试（仅用于排查，不推荐长期使用，避免跳过DNSSEC验证带来风险）

修改配置后重启OpenDKIM：

sudo systemctl restart opendkim

再重新测试密钥：

sudo opendkim-testkey -d mydomain.com -s selector -vvv

5. 排查DNS链路的中间节点问题 #

如果前面步骤都没问题，可能是中间DNS服务器未正确支持DNSSEC。你可以直接使用根域服务器查询，验证链路是否通畅：

dig @a.root-servers.net selector._domainkey.mydomain.com TXT +dnssec

如果直接查根服务器能拿到ad标志，说明你的本地DNS或ISP的DNS不支持DNSSEC，此时可以切换到支持DNSSEC的公共DNS（比如Cloudflare的1.1.1.1、Quad9的9.9.9.9），修改服务器DNS配置后再测试。

另外要注意：opendkim-testkey返回的“key OK”说明DKIM密钥本身是有效的，问题完全出在DNSSEC验证链路上，重点放在上述DNS相关的排查即可。

备注：内容来源于stack exchange，提问作者Robert K S