dkim_keys проверенокритичноПишет Хаб

Каждая строка — это ключ плюс то, как его применять. Сам ключ лежит в базе открытым текстом, и это следует из замысла: подписывать должен уметь каждый узел кластера, а общая у них — база. Отсюда же следует, что резервная копия базы содержит подписывающие ключи, а –purge-database уничтожает их безвозвратно. Один ключ не подписывает ничего: к каким письмам он применяется, решает dkim_patterns. Полный цикл мы проверили на стенде — ключ, шаблон, затем доставленное письмо с действительной подписью ровно тем алгоритмом и той канонизацией, что были настроены. Колонка enforce означает не то, что подсказывает имя: консоль выводит её из выбора алгоритма, и при Auto-detect MTA при запуске спрашивает у DNS опубликованный ключ.