Un attaquant obtient un message signé par un expéditeur réputé (par exemple en envoyant du spam depuis un compte gratuit ou une boîte aux lettres compromise dont le fournisseur signe les messages) et le rejoue depuis sa propre infrastructure. La signature reste valide pour quiconque en reçoit une copie, et les adresses des destinataires ne figurent que dans l’enveloppe, que DKIM ne signe pas.
Des parades existent des deux côtés : les signataires peuvent sursigner (oversigning) des en-têtes comme To, Cc et Subject, fixer une expiration courte avec x=, refuser de signer les messages qui ressemblent à du spam et changer de sélecteur après un abus ; les destinataires peuvent appliquer une limitation de débit aux signatures identiques reçues en grand nombre. Le groupe de travail DKIM de l’IETF a décrit le problème dans un énoncé du problème du rejeu (replay problem statement) et conçoit DKIM2 pour lier l’enveloppe et signer chaque saut.