Exemple : DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=s2026; t=1792483200; x=1793088000; h=from:to:subject:date:message-id; bh=…; b=…. bh est le condensat SHA-256, en base64, du corps canonicalisé ; avec la canonicalisation relaxed du corps, le condensat du corps vaut 47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU= lorsque le corps est vide. La signature couvre les en-têtes listés, dans l’ordre, puis l’en-tête DKIM-Signature lui-même, avec b= vidé.
Balises à vérifier : h= doit inclure From (la RFC 6376 l’exige) ; lister un en-tête plus de fois qu’il n’apparaît (sursignature, ou oversigning) empêche un attaquant d’en ajouter une seconde copie ; l= limite la longueur du corps signé, ce qui permet à n’importe qui d’ajouter du contenu, et ne devrait pas être utilisé ; t= et x= indiquent les dates de signature et d’expiration ; i= est l’identifiant de l’agent ou de l’utilisateur au sein de d=.
L’enregistrement de clé situé à s._domainkey.d est v=DKIM1; k=rsa; p=… (la clé publique en base64 : en pratique une SubjectPublicKeyInfo pour RSA, la clé brute de 32 octets pour k=ed25519) ; un p= vide révoque la clé. Une clé RSA de 2048 bits occupe 392 caractères en base64, plus qu’une chaîne TXT de 255 octets : elle doit donc être répartie sur plusieurs chaînes d’un même enregistrement.