El firmante añade un encabezado DKIM-Signature que indica su dominio (d=), un selector (s=), los encabezados firmados (h=), un hash del cuerpo canonicalizado (bh=) y la firma (b=). El receptor obtiene la clave del registro TXT en selector._domainkey.domain, vuelve a calcular el hash del cuerpo y verifica la firma sobre los encabezados canonicalizados. Los algoritmos son rsa-sha256 y ed25519-sha256 (RFC 8463); el RFC 8301 prohíbe rsa-sha1 y exige claves de al menos 1024 bits, y recomienda 2048.
DKIM autentica el dominio firmante, no la dirección From visible; DMARC une ambos mediante la alineación. Las firmas se rompen cuando los intermediarios modifican el contenido firmado (pies de página de las listas de correo, etiquetas en el asunto, algunas pasarelas de seguridad), y por eso existe ARC; además, un mensaje firmado válido puede reenviarse a nuevos destinatarios (DKIM replay).
El grupo de trabajo DKIM del IETF, que recibió un nuevo mandato en febrero de 2025, está diseñando un sucesor (DKIM2) que firma cada salto y vincula el sobre; en 2026 todavía era un Internet-Draft. El depurador de DKIM verifica un mensaje paso a paso en el navegador.