dkim-sign<domain>критичноХаб задаёт самДирективаВключает подпись у получателя; ключ при этом выбирается по домену отправки из заголовков письма.domain-keyGlobalкритичноДирективаСвязывает селектор, домен и приватный ключ; выигрывает первая запись, чей домен совпал или является родительским.check-spf-inbound<source>ДирективаВключает проверку на входе и добавляет к письму заголовок с её результатом.check-spf-outbound<domain>ДирективаНе прошло — письмо отбивается у нас, не доехав до приёмника; временная ошибка — повтор.dkim-identity<domain>ДирективаПозволяет подписывать своим ключом письма, у которых в From стоит чужой домен, — отправка за клиента.name-serverGlobalДирективаЗадаёт адреса серверов имён; строку повторяют, и MTA ходит по ним по кругу. Не задана — берутся резолверы операционной системы.precached-domains-file<dns>ДирективаТекстовый файл по домену на строку; перечисленные домены разрешаются независимо от того, есть ли для них письма в очереди.precached-refresh-interval<dns>ДирективаЗадаёт расписание обновления вместо срока жизни записи у приёмника: собственный срок этих доменов игнорируется.reject-spf-check-fail<source>ДирективаСамый однозначный из трёх исходов: владелец домена сказал, что с этого адреса слать нельзя.reject-spf-check-permerror<source>ДирективаОтправитель ничего не запрещал — он ошибся в синтаксисе; умолчание всё равно отвергает.reject-spf-check-temperror<source>ДирективаЕдинственный из трёх исходов, где отказ временный: отправителю предлагают повторить.arc-identity<domain>ДирективаВ отличие от обычной подписи, имя попадает в поле домена — то самое, по которому получатель ищет ключ.arc-sign<domain>ДирективаВключает три заголовка ARC; ключи берутся те же, что у обычной подписи.check-arc-inbound<source>ДирективаТа же наблюдательная проверка, что и для обычной подписи; отказов у неё тоже нет.check-dkim-inbound<source>ДирективаТолько наблюдение: отказов по результату проверки подписи у MTA нет вовсе.check-iprev-inbound<source>ДирективаОбратная проверка адреса: сверяются запись PTR и имя, которым узел представился.check-spf-inbound-max-void-lookups<source>ДирективаПорог защищает резолвер от раскрутки чужой записью — и превращает сложные записи в постоянную ошибку.dkim-add-body-limit<domain>ДирективаСтавит в подпись длину подписанной части: приписка внизу перестаёт её ломать — и перестаёт быть заметной.dkim-disallow-adding-headers<domain>ДирективаОбратная задача: перечисленные имена ставятся в подпись лишний раз, и появление такого заголовка её ломает.dkim-headers<domain>ДирективаСписок обязательных изменить нельзя — эта строка только добавляет к нему свои.dkim-identity-fallback<domain>ДирективаНе подошёл ключ по домену отправителя — подписываем своим, вместо того чтобы отправить без подписи.domain-key<domain-key-list>ДирективаСписок сужает поиск ключа до себя — и выбирается заголовком письма, а не конфигурацией.edns-udp-lengthGlobalДирективаВключает расширение EDNS и задаёт наибольший размер ответа по UDP; без него ответы длиннее 512 байт обрезаются, и маршрут может собраться неполным.precached-max-domains<dns>ДирективаПотолок числа доменов, берущихся из файла; больше числа строк в файле быть не может, а лишние строки обрезаются молча.process-x-dkim-options<source>ДирективаРазрешение источнику: с ним заголовок задаёт селектор, домен, личность и способ запроса для подписи одного письма, без него заголовок игнорируется и остаётся в письме.reject-iprev-check-fail<source>ДирективаУмолчание — пропускать, и это противоположность одноимённой строке в семье SPF.reject-iprev-check-permerror<source>ДирективаПостоянная ошибка обратной проверки — почти всегда чужая незаполненная зона, а не подделка.reject-iprev-check-temperror<source>ДирективаВременный сбой разрешения имён; отказ здесь тоже временный, и виноват обычно свой резолвер.arc-algorithm<domain>ДирективаЗначение ровно одно; строка существует ради полноты набора, а не ради выбора.arc-body-canon<domain>ДирективаЕдинственная строка канонизации ARC, где выбор действительно есть.arc-expire-after<domain>ДирективаУмолчание — никогда; у пересыльщика окно повторного использования особенно велико.arc-headers<domain>ДирективаОбязательный набор тот же, что у обычной подписи; строка только добавляет к нему.arc-headers-canon<domain>ДирективаПоддерживается ровно один способ; выбора, в отличие от обычной подписи, нет.arc-identity-fallback<domain>ДирективаУ пересыльщика это не запасной вариант, а основной путь: чужих ключей у него и не бывает.arc-oversigned-headers<domain>ДирективаТа же защита от подмены, что у обычной подписи; умолчания нет, без строки она не действует.check-spf-inbound-best-guess<source>устарелаДирективаРуководство помечает её как устаревшую и прямо не советует применять.dkim-add-timestamp<domain>ДирективаОдно поле, по которому потом можно понять, когда письмо было подписано.dkim-algorithm<domain>ДирективаУмолчание верное; второе значение устарело и приёмниками уже не принимается.dkim-body-canon<domain>Директиваrelaxed прощает лишние пробелы в строках, simple — нет; пустые строки в конце тела не в счёт при обоих.dkim-expire-after<domain>ДирективаУмолчание — никогда; срок ставят там, где боятся повторного использования подписанного письма.dkim-headers-canon<domain>Директиваrelaxed прощает пробелы и регистр имён, simple не прощает ничего.dkim-query-method<domain>ДирективаСпособ поиска ровно один, и он подразумевается по умолчанию; строка нужна для совместимости.Как узел подписывает письма и выбирает ключкритичноМеханизмКлюч выбирается по домену отправки из заголовков, перебором объявлений сверху вниз.Не отправлять то, что не пройдёт проверку у получателякритичноМеханизмУзел сам проверяет SPF своей почты перед отправкой: не прошло — отбивает, не дожидаясь чужого отказа.Узлу нужен резолвер, который делает всю работу самМеханизмMTA требует рекурсивного разрешения имён; резолвер, отвечающий отсылкой к другому серверу, вынуждает повторять запрос и предупреждает записью в журнал.Вторая подпись на том же письмеМеханизмДвенадцать строк с приставкой second-: письмо подписывается дважды, разными ключами и от разных имён.Держать выбранные домены разрешёнными постоянноМеханизмФайл со списком доменов, чьи записи DNS обновляются по своему расписанию независимо от очереди и вопреки их собственному сроку жизни.Ключ подписи, пришедший вместе с письмомМеханизмПриватный ключ передаётся заголовком письма; узел подписывает им и удаляет заголовок перед отправкой.Заголовок письма, которым подающая сторона правит подписьМеханизмПять параметров в X-DKIM-Options: селектор, домен, имя подписи, способ запроса и список ключей.Подпись, которая сохраняет чужую проверку при пересылкеМеханизмТри заголовка, в которых пересыльщик заверяет: письмо пришло ко мне вот таким и вот с какими результатами проверок.Указатель директив авторизацииМеханизмСводка директив, относящихся ко входу: они разбросаны по нескольким блокам.Как включить подпись DKIM с нулякритичноПроцедураВосемь шагов: домен, селектор, ключ, права, запись в DNS, объявление, включение и маршрут.Сменить ключ подписи, не прерывая отправкуПроцедураДобавить новый ключ под новым селектором, применить, начать подписывать им, дождаться ухода писем со старым — и только потом убрать старый.<dns>Блок конфигурацииБлок предварительного кэша DNS: файл со списком доменов, потолок их числа и расписание обновления. Резолверы задаются вне блока.<domain-key-list>Блок конфигурацииИменованный список строк domain-key на уровне узла: письмо выбирает его заголовком x-dkim-options с key-list=, и ключ ищется только в этом списке.check spfКомандаОтвечает тем же вердиктом, что и получатель, — по адресу, имени в приветствии и обратному адресу.clear dnscacheКомандаУдаляет из кэша DNS MTA все записи домена; со звёздочкой — весь кэш.resolveКомандаЗапрашивает записи MX и адреса домена и с –connect подключается к первому доступному почтовому хосту.show precacheКомандаПечатает домены, чьи записи узел обновляет независимо от содержимого очереди.check mfromустарелаКомандаПроверяла обратный адрес по стандарту Sender-ID; устарела вместе с ним — руководство отсылает к проверке SPF.Запрос имени не завершился — и вывод не делаетсяКод ошибкиЗапрос в службу имён не удался, обычно по времени ожидания; MTA намеренно не отбивает письмо на таком отказе.Кэш имёнМетрикаЧисло имён в кэше и число запросов, ожидающих ответа; отдельно — активные запросы.