Postfix服务器DKIM签名验证失败问题求助

看起来你在配置Postfix+OpenDKIM时遇到了DKIM签名验证失败的棘手问题——DNS检查显示记录正常，但实际邮件投递后DKIM始终报FAIL，还提示"bad RSA signature"，我来帮你一步步排查可能的问题：

一、优先排查DKIM公私钥匹配与DNS配置问题 #

这是签名失败最常见的原因，尤其是你提到生成的DKIM记录有格式调整的情况：

• 用官方工具验证公私钥一致性：执行以下命令直接验证本地私钥与DNS公钥是否匹配：

  opendkim-testkey -d mydomain.com -s email -vvv
  

  如果输出显示key OK说明公私钥匹配，若有错误提示（比如找不到公钥、签名不匹配），就顺着提示修复。
• 严格检查DNS TXT记录格式：DNS中的DKIM公钥必须是无换行、无多余引号、无空格的完整单行字符串。你之前生成的记录里有拆分的引号和换行，哪怕调整过也要再次确认：
  • 去掉所有开头结尾的双引号
  • 把p=后面的两段字符串完全拼接成一行，不能有任何中断
  • 配置完成后可以用dig email._domainkey.mydomain.com TXT命令查询，确保返回的记录是完整的单行内容

二、修复OpenDKIM配置文件的明显错误 #

看你贴出的opendkim.conf里有两处可能的语法问题：

• 清理残留的无效内容：OmitHeaders行末尾的<Paste>是无效字符，会导致OpenDKIM解析配置出错，必须删掉。
• 检查Nameservers配置格式：最后一行Nameservers 127.0.0.11要确保和其他配置项格式对齐，不要有多余的缩进或换行，OpenDKIM对配置格式很敏感。
• 确认InternalHosts配置：检查/etc/opendkim/truhost文件，确保里面包含你的域名mydomain.com（或*.mydomain.com），只有这样OpenDKIM才会对来自该域名的邮件进行签名。

三、检查邮件签名的头部覆盖与服务连接 #

• 补充签名头部字段：你当前的DKIM签名h=字段只包含Subject:From:To，虽然不是直接原因，但可以尝试扩展为更完整的头部列表：

  h=From:To:Subject:Date:Message-ID
  

• 验证Postfix与OpenDKIM的连接：确保Postfix配置中添加了以下两项，保证邮件能转发到OpenDKIM进行签名：

  smtpd_milters = inet:localhost:8891
  non_smtpd_milters = inet:localhost:8891
  

  然后重启Postfix和OpenDKIM服务，查看/var/log/mail.log或/var/log/opendkim.log，有没有签名相关的错误日志，这会提供更精准的故障线索。

四、手动验证RSA签名有效性 #

如果上面的步骤都没解决，可以用openssl手动验证签名：

1. 把DNS中的DKIM公钥保存为dkim.pub文件，格式如下：

   -----BEGIN PUBLIC KEY-----
   MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA24F81SHRpZJ/EA3NAfWRYEwKi6XHx1o/RIGVDuEMvxefDDOtbRQsh4hG7er/Ll3f4ID4aTa99IHWHx/Zik0PBnXwDLbGqDqqU0dgtURYGfRXwuxtvvQfuOaWLa9DwVKiIUOcPtXIdh6a5sM73jQcatCaPwoVZadVb9klQubN+NU3A7JI1FtIk0Lovm7gOr/7VSuibcV6Ni8ZZ/5jM4xo67LpT3rbJpDsmKWRFoe1HmU3pe2+AmG/hFnOvLHkGYt6j0gdHJbIUdjr/ObBzQJ8VSFQJY55ortYMFxR1LO79f5G1CT3bMlLMauH2odzPTSGBeP7ihlP3zFblFd6MOKmrwIDAQAB
   -----END PUBLIC KEY-----
   

2. 把邮件中DKIM签名的b=字段内容解码保存：

   echo "Euf/WOxr4EcUxl3MgvTfpod7gkhQ8MPsxm8qULS2lD83fx1PWPeVaB+JTQJk27bQNzXPZcufpB0ANcA3hG34WDzKCefabN/Y97OdyRoI6nAH4JfeXqG3AeloDDc6i6o1961TLNVZr8qjPBe2quQSb+LPY/EpGu1RSRxgQO9ws/Yv92IHV6Lx8tzcQjDKQ3CAkTV+v9FGxp3l/VJDbbUbCU9P/8WuQ1JjluP4zJSJPV9zd6EWRiJgiLomXSlaSI5ekvbJRip1uLFfq8Qr7sXcmlW3mCts3bkS95LU8kFJ8/27TXzJY32sVw2tkX0h9Hx/6YUVOjlbGI590JJ/IsCoIg==" | base64 -d > sig.bin
   

3. 提取邮件中对应h=字段的头部内容保存为data.txt（比如Subject、From、To的完整内容，格式要和邮件中的一致）
4. 执行签名验证：

   openssl dgst -sha256 -verify dkim.pub -signature sig.bin data.txt
   

   如果验证失败，说明签名生成时用的私钥和公钥不匹配，或者邮件头部在传输中被修改了。

先从最明显的配置错误（比如opendkim.conf里的<Paste>残留）和DNS记录格式入手，再用opendkim-testkey验证，应该能快速定位问题。

备注：内容来源于stack exchange，提问作者kubn2