Ein Angreifer beschafft sich eine signierte Nachricht eines Absenders mit guter Reputation (etwa indem er Spam über ein kostenloses Konto oder ein kompromittiertes Postfach verschickt, dessen Mails der Anbieter signiert) und versendet sie von seiner eigenen Infrastruktur aus erneut. Die Signatur bleibt für jeden gültig, der eine Kopie erhält, und die Empfängeradressen stehen nur im Envelope, den DKIM nicht signiert.
Gegenmaßnahmen gibt es auf beiden Seiten: Signierer können Header wie To, Cc und Subject übersignieren, mit x= eine kurze Ablaufzeit setzen, das Signieren von Mails verweigern, die nach Spam aussehen, und nach einem Missbrauch die Selektoren wechseln; Empfänger können identische Signaturen, die in großer Zahl auftauchen, mit einem Rate Limit bremsen. Die DKIM-Arbeitsgruppe der IETF hat das Problem in einer Problembeschreibung zum Replay dokumentiert und entwickelt DKIM2 so, dass es den Envelope einbindet und jede Station signiert.