DKIM 密钥的注意事项
在创建 DKIM 密钥之前，请了解它们的目的以及 DKIM 密钥轮换和域匹配的工作方式。
所需的 Edition
| 适用于：Salesforce Classic 和 Lightning Experience |
| 适用于所有版本，但不包括版本 Database.com |
概览
当您使用 DomainKeys 识别的邮件 (DKIM) 对您的电子邮件进行数字签名时，密钥会证明该消息来自您的域。该签名是行业标准。
Salesforce 使用 DKIM 密钥对签名代表贵公司发送的出站电子邮件，这会增加域作为合法发件人的声誉。每个 DKIM 密钥对由一个私钥和一个公钥组成。Salesforce 发布公钥，私钥存储在 Salesforce 中。这些链接的密钥会验证您的发送电子邮件域，并帮助验证出站电子邮件的真实性。
在邮件传输期间，Salesforce 使用您的私钥生成 DKIM 签名，然后将该签名添加到出站电子邮件。当收件人收到电子邮件时，通过域的公共 DNS 记录，根据公钥验证 DKIM 签名。此验证证明发件人是他们声称的那个人。
在 Salesforce 中，活动 DKIM 密钥也会验证您是否拥有域。只有当域和电子邮件地址都经过验证时，Salesforce 才能代表您的用户发送电子邮件。有关更多信息，请查看从 Salesforce 发送电子邮件的要求。
DKIM 密钥轮换
为了安全起见，Salesforce 每 30 天轮换一次 DKIM 密钥。轮换周期将在创建并发布 DKIM 密钥对时开始。
DKIM 密钥对包含公钥和私钥。
- 主 DKIM 密钥：您的主要有效公钥-私钥 DKIM 密钥对。
- 备用 DKIM 密钥：您的次要非活动公钥-私钥对，用于在轮换期间替换主密钥对。
在设置 DKIM 密钥时，您可以设置指向主和次要私钥对的 CNAME 记录。Salesforce 会为您轮换密钥。
轮换时间线
以下是首次发布 DKIM 密钥时开始的事件时间线。激活 DKIM 密钥后，Salesforce 会为您执行以下每个操作。
- 第 0 天：主 DKIM 密钥对已发布。
- 第 25 天：Salesforce 创建备用 DKIM 密钥对，以准备轮换。Salesforce 在轮换前 5 天将备用密钥对发布到 DNS，以便所有 DNS 服务器了解新密钥对。
- 第 30 天：Salesforce 将备用密钥对标记为已启用，并使用新启用密钥在未来 30 天内签署电子邮件。
多个 DKIM 密钥对
如果多个有效 DKIM 密钥匹配发送域，Salesforce 将使用具有最长匹配域匹配模式的密钥。如果多个活动密钥具有相同的最长匹配模式，Salesforce 会随机选择一个密钥来使用。
示例：您使用 sales.mail.example.com 域从 Salesforce 发送电子邮件。如果这三个域匹配模式存在 DKIM 密钥对，Salesforce 将按此顺序使用密钥。
- .sales.mail.example.com
- .mail.example.com
- .example.com
查询 DKIM 密钥
要了解如何查询 DKIM 密钥和授权的电子邮件域，请参阅获取已验证的电子邮件发送域列表。
适用于域级电子邮件验证的 DKIM
Salesforce 需要域级和用户级电子邮件验证。Salesforce 只能在两个级别的验证完成后代表您的用户发送电子邮件。
对于域级验证，有效 DKIM 密钥的域名必须与“发件人”地址中显示的整个域相匹配。为避免传递失败，请为每个电子邮件发送域和子域激活单独的 DKIM 密钥。请参阅从 Salesforce 发送电子邮件的要求。
适用于用户级电子邮件验证的 DKIM
根据客户的要求，Salesforce 提供了使用域级验证的选项，以绕过用户级电子邮件验证的要求。但是，由于安全风险，Salesforce 不建议使用该选项。为了保护您的品牌和业务,Salesforce 强烈建议您为所有有效的 DKIM 密钥启用要求电子邮件验证。请参阅从 Salesforce 发送电子邮件的注意事项。
