Beispiel: DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=s2026; t=1792483200; x=1793088000; h=from:to:subject:date:message-id; bh=…; b=…. bh ist der base64-kodierte SHA-256-Hash des kanonisierten Bodys; mit der Body-Kanonisierung relaxed hat ein leerer Body den Body-Hash 47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU=. Die Signatur deckt die aufgeführten Header in ihrer Reihenfolge ab und danach den Header DKIM-Signature selbst mit geleertem b=.
Prüfenswerte Tags: h= muss From enthalten (RFC 6376 schreibt das vor); einen Header öfter aufzuführen, als er vorkommt (Übersignieren), hindert Angreifer daran, eine zweite Kopie hinzuzufügen; l= begrenzt die signierte Länge des Bodys, sodass jeder Inhalte anhängen kann, und sollte nicht verwendet werden; t= und x= geben Signatur- und Ablaufzeitpunkt an; i= ist die Kennung des Agenten oder Benutzers innerhalb von d=.
Der Schlüsseleintrag unter s._domainkey.d lautet v=DKIM1; k=rsa; p=… (base64 des öffentlichen Schlüssels, bei RSA in der Praxis eine SubjectPublicKeyInfo, bei k=ed25519 der rohe 32-Byte-Schlüssel); ein leeres p= widerruft den Schlüssel. Ein 2048-Bit-RSA-Schlüssel ergibt 392 base64-Zeichen, mehr als ein einzelner TXT-String von 255 Byte, und muss deshalb auf mehrere Strings in einem Eintrag aufgeteilt werden.