Подписант добавляет заголовок DKIM-Signature, в котором указаны его домен (d=), селектор (s=), подписанные заголовки (h=), хеш канонизированного тела (bh=) и сама подпись (b=). Получатель берёт ключ из TXT-записи по адресу selector._domainkey.domain, заново вычисляет хеш тела и проверяет подпись канонизированных заголовков. Алгоритмы — rsa-sha256 и ed25519-sha256 (RFC 8463); RFC 8301 запрещает rsa-sha1 и требует ключи длиной не менее 1024 бит, а рекомендует 2048 бит.
DKIM аутентифицирует домен, который поставил подпись, а не видимый адрес From; DMARC связывает одно с другим через выравнивание. Подписи ломаются, когда посредники меняют подписанное содержимое (приписки, которые списки рассылки добавляют в конец письма, метки в теме, некоторые шлюзы безопасности); именно поэтому существует ARC. Кроме того, письмо с верной подписью можно повторно разослать новым получателям (DKIM replay).
Рабочая группа DKIM в IETF, устав которой пересмотрели в феврале 2025 года, разрабатывает преемника, DKIM2, который подписывает письмо на каждом узле и охватывает конверт; в 2026 году он всё ещё оставался черновиком IETF (Internet-Draft). Отладчик DKIM пошагово проверяет письмо прямо в браузере.