多域名代发邮件场景下的DKIM配置及邮件头添加问题咨询

嘿，这个代发邮件用客户域名的场景我太熟了——光靠SPF确实撑不住，DKIM是必须补的环节，而且得把整套流程捋顺才能保证邮件不进垃圾箱。我来一步步给你说清楚你这边要做的事：

• 生成每个客户域名的独立DKIM密钥对
  每个要代发的客户域名都得有一套专属的RSA密钥对（推荐2048位，兼容性和安全性平衡得最好）：

  • 私钥：你要妥善存在自己的邮件服务器/代发系统里，绝对不能泄露给任何人，这是签名的核心凭证；
  • 公钥：把它交给客户，让他们添加到自己域名的DNS中，格式是一条TXT记录，示例：your-service._domainkey.clientcompany.com，其中your-service是你自定义的selector（可以用你的服务名，或者客户ID，方便后续管理），记录内容是v=DKIM1; k=rsa; p=[公钥内容]。

• 配置邮件系统自动添加DKIM签名头
  这是你这边最关键的操作：当替客户发邮件时，系统要根据发件人域名匹配对应的私钥，对邮件的关键字段（From、To、Subject、邮件正文等）生成DKIM签名，然后把DKIM-Signature头插入到邮件中。
  具体实现取决于你用的邮件服务软件：

  • 如果是Postfix，搭配opendkim插件就行，配置时要把域名和密钥的映射关系（比如clientcompany.com your-service:/path/to/private/key）加到opendkim的配置文件里；
  • 如果是自研系统，可以用现成的DKIM库（比如Python的dkimpy、PHP的php-dkim）来生成签名，核心是要填对签名参数：v=1（DKIM版本）、a=rsa-sha256（签名算法）、d=clientcompany.com（目标域名）、s=your-service（selector），还要计算邮件正文的哈希值(bh=)和最终签名(b=)。

• 配套完善SPF和DMARC
  虽然你已经在用SPF，但要确保客户的SPF记录明确包含你的服务器IP（比如v=spf1 ip4:你的服务器IP include:你的服务域名 ~all）；另外强烈建议引导客户添加DMARC记录（TXT记录_dmarc.clientcompany.com），先设成v=DMARC1; p=none; rua=mailto:他们的邮箱来收集认证数据，之后可以逐步升级到p=quarantine或p=reject，这能大幅提升邮件送达率，还能防止他人伪造他们的域名发邮件。

• 做好密钥与域名的映射管理
  你需要维护一个映射表（数据库或配置文件都行），记录每个客户域名对应的selector和私钥路径/内容。比如客户A的clienta.com对应selectormailer001，私钥存在/etc/dkim/keys/clienta.com/mailer001.private，这样发邮件时系统能快速匹配到正确的密钥签名。

• 测试验证必不可少
  每配置完一个客户，发一封测试邮件到check-auth@verifier.port25.com，这个邮箱会自动回复一份详细的认证报告，告诉你SPF、DKIM、DMARC是否全部通过，哪里有问题；也可以用本地工具比如opendkim-testmsg来检查生成的签名是否有效。

另外提个小建议：如果后续客户量增加，你可以做个简单的客户后台，让他们自助提交域名，系统自动生成密钥对并给出DNS配置指引，能省不少人工成本。

备注：内容来源于stack exchange，提问作者popkinson