Exemplo: DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com; s=s2026; t=1792483200; x=1793088000; h=from:to:subject:date:message-id; bh=…; b=…. A tag bh é o SHA-256 em base64 do corpo canonicalizado; com a canonicalização relaxed do corpo, o hash do corpo vazio é 47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU=. A assinatura cobre os cabeçalhos listados, na ordem, e depois o próprio cabeçalho DKIM-Signature com b= vazio.
Tags que vale a pena verificar: h= deve incluir From (a RFC 6376 exige isso); listar um cabeçalho mais vezes do que ele aparece na mensagem (sobreassinatura, ou oversigning) impede que atacantes acrescentem uma segunda cópia; l= limita o comprimento do corpo assinado, o que permite que qualquer pessoa acrescente conteúdo, e não deve ser usada; t= e x= informam os horários de assinatura e de expiração; i= é o identificador do agente ou do usuário dentro de d=.
O registro da chave em s._domainkey.d é v=DKIM1; k=rsa; p=… (o base64 da chave pública: na prática, um SubjectPublicKeyInfo para RSA e a chave bruta de 32 bytes para k=ed25519); um p= vazio revoga a chave. Uma chave RSA de 2048 bits ocupa 392 caracteres em base64, mais do que uma string TXT de 255 bytes, então ela precisa ser dividida em várias strings dentro de um mesmo registro.