DKIM
DomainKeys Identified Mail — um método em que o e-mail de saída é assinado criptograficamente com a chave privada do domínio, para o destinatário verificar que a mensagem realmente veio dali e não foi alterada no caminho. O segundo pilar (junto com SPF) da autenticação de e-mail.
Mecânica: o servidor de envio assina o e-mail (cabeçalhos selecionados + corpo) com uma chave privada e coloca a assinatura em um cabeçalho DKIM-Signature. A chave pública é publicada no DNS do domínio (sob um "seletor"). O destinatário busca a chave pública, verifica a assinatura → se bater, o e-mail provadamente veio do domínio e não mudou desde a assinatura. Vantagem sobre o SPF: o DKIM sobrevive a encaminhamentos (a assinatura viaja com o e-mail, independente de qual servidor faz o relay) e verifica a integridade do conteúdo. Limitação: assim como o SPF, o DKIM verifica uma identidade de domínio, mas não vincula isso sozinho ao endereço De: visível — quem faz isso é o DMARC, que exige que SPF ou DKIM estejam "alinhados" com o que o usuário vê. SPF + DKIM + DMARC juntos formam a autenticação de e-mail moderna.