Le signataire ajoute un en-tête DKIM-Signature qui indique son domaine (d=), un sélecteur (s=), les en-têtes signés (h=), un condensat du corps canonicalisé (bh=) et la signature (b=). Le destinataire récupère la clé dans l’enregistrement TXT situé à selector._domainkey.domain, recalcule le condensat du corps et vérifie la signature sur les en-têtes canonicalisés. Les algorithmes sont rsa-sha256 et ed25519-sha256 (RFC 8463) ; la RFC 8301 interdit rsa-sha1 et exige des clés d’au moins 1024 bits, en recommandant 2048.
DKIM authentifie le domaine signataire, pas l’adresse From visible ; DMARC relie les deux par l’alignement. Les signatures ne sont plus valides lorsque des intermédiaires modifient le contenu signé (pieds de page des listes de diffusion, étiquettes ajoutées à l’objet, certaines passerelles de sécurité), d’où l’existence d’ARC, et un message signé valide peut être renvoyé à de nouveaux destinataires (rejeu DKIM).
Le groupe de travail DKIM de l’IETF, dont la charte a été révisée en février 2025, conçoit un successeur (DKIM2) qui signe chaque saut et lie l’enveloppe ; c’était encore un Internet-Draft en 2026. Le débogueur DKIM vérifie un message étape par étape dans le navigateur.