O signatário adiciona um cabeçalho DKIM-Signature com seu domínio (d=), um seletor (s=), os cabeçalhos assinados (h=), um hash do corpo canonicalizado (bh=) e a assinatura (b=). O receptor busca a chave no registro TXT em selector._domainkey.domain, recalcula o hash do corpo e verifica a assinatura sobre os cabeçalhos canonicalizados. Os algoritmos são rsa-sha256 e ed25519-sha256 (RFC 8463); a RFC 8301 proíbe rsa-sha1 e exige chaves de pelo menos 1024 bits, recomendando 2048.
O DKIM autentica o domínio signatário, não o endereço From visível; o DMARC liga os dois por meio do alinhamento. As assinaturas quebram quando intermediários modificam o conteúdo assinado (rodapés de listas de discussão, marcações no assunto, alguns gateways de segurança), e é por isso que o ARC existe; além disso, uma mensagem assinada válida pode ser reenviada a novos destinatários (ataque de repetição de DKIM).
O grupo de trabalho DKIM da IETF, cujo charter foi renovado em fevereiro de 2025, está projetando um sucessor (o DKIM2) que assina cada salto e vincula o envelope; em 2026, ele ainda era um Internet-Draft. O depurador de DKIM verifica uma mensagem passo a passo no navegador.