dkim-sign<domain>критичноХаб задаёт самДирективаВключает подпись у получателя; ключ при этом выбирается по домену отправки из заголовков письма.domain-keyGlobalкритичноДирективаСвязывает селектор, домен и приватный ключ; выигрывает первая запись, чей домен совпал или является родительским.access-token<vault>ДирективаТокен авторизации Vault; создаётся вручную на стороне хранилища и нужен почти всему, что через хранилище работает.cache-ttl<vault>ДирективаВремя, после которого полученный из Vault ключ запрашивается заново; отсутствие ключа кэшируется на час всегда, независимо от этой строки.server-url<vault>ДирективаИмя или адрес сервера Vault и, при необходимости, порт; схема http или https.Как узел подписывает письма и выбирает ключкритичноМеханизмКлюч выбирается по домену отправки из заголовков, перебором объявлений сверху вниз.Секреты во внешнем хранилищеМеханизмКлючи подписи можно держать в HashiCorp Vault: в конфигурации остаётся путь, MTA берёт ключ по HTTP и держит в памяти, не записывая на диск.Сменить ключ подписи, не прерывая отправкуПроцедураДобавить новый ключ под новым селектором, применить, начать подписывать им, дождаться ухода писем со старым — и только потом убрать старый.<vault>Блок конфигурацииБлок описывает подключение к Vault; оттуда узел берёт ключи подписи, сертификаты и пароли к ним, не держа их в своих файлах.clear dnscacheКомандаУдаляет из кэша DNS MTA все записи домена; со звёздочкой — весь кэш.clear secretscacheКомандаСбрасывает кэш секретов; при следующем обращении они запрашиваются из хранилища заново.