本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

在 Amazon SES 中透過 DKIM 驗證電子郵件

網域金鑰識別郵件 (DKIM) 是一項電子郵件安全性標準，旨在確保聲稱來自特定網域的電子郵件確實是由該網域的擁有者授權傳送。它使用公有金鑰加密法來使用私密金鑰簽署電子郵件。接著，收件人伺服器可以使用發佈至網域 DNS 的公有金鑰來確認電子郵件的各個部分在傳輸期間未被修改。

DKIM 簽章可選用。您可以決定是否使用 DKIM 簽章來簽署電子郵件，以於透過符合 DKIM 規範的電子郵件供應商提升遞送度。Amazon SES 提供兩種選項來使用 DKIM 簽章簽署您的訊息：

DKIM 簽署金鑰長度

由於許多 DNS 供應商現在完全支援 DKIM 2048 位元 RSA 加密，Amazon SES 也支援 DKIM 2048 以實現更安全的電子郵件身分驗證，因此在從 API 或主控台設定 Easy DKIM 時使用它作為預設的金鑰長度。也可在「使用自有 DKIM (BYODKIM)」中設定和使用 2048 位元金鑰，其中您的簽署金鑰長度必須至少為 1024 位元且不超過 2048 位元。

為了安全性以及您的電子郵件的傳遞能力，當設定為 Easy DKIM 時，您可以選擇使用 1024 和 2048 位元金鑰長度，以及在發生由仍然不支援 2048 的 DNS 供應商所造成的任何問題時靈活地回復到 1024 位元。建立新的身分時，除非您指定 1024，否則會預設 DKIM 2048 來建立身分。

為了保留傳輸電子郵件的可交付性，您變更 DKIM 金鑰長度的頻率有一定限制。限制包括：

當您的電子郵件在傳輸過程中時，DNS 會使用您的公有金鑰來驗證電子郵件；因此，如果您變更金鑰太快或過於頻繁，DNS 可能無法對您的電子郵件進行 DKIM 驗證，因為之前的金鑰可能已經失效。因此，這些限制可以防範上述問題。

DKIM 考量因素

當您使用 DKIM 來驗證電子郵件時，會套用以下規則：

了解繼承的 DKIM 簽署屬性

首先必須了解，如果使用 DKIM 設定父系網域，電子郵件地址身分會從父系網域繼承其 DKIM 簽署屬性，不論是否使用 Easy DKIM 或 BYODKIM。因此，停用或啟用電子郵件地址身分上的 DKIM 簽署，實際上是根據以下重要事實覆寫網域的 DKIM 簽署屬性：

由於電子郵件地址身分的 DKIM 簽署屬性是繼承自父系網域，因此如果您打算覆寫這些屬性，您必須牢記覆寫的階層規則，如下表所述。

通常不建議停用 DKIM 簽署，因為有可能會損害寄件者評價，而且會增加將您傳送的郵件送往垃圾郵件資料夾或網域遭到假冒的風險。

不過，可以因應任何特定使用案例或異常業務決策，而覆寫電子郵件地址身分上的網域繼承 DKIM 簽署屬性，以永久或暫時停用 DKIM 簽署，或稍後再重新啟用。請參閱覆寫電子郵件地址身分的繼承DKIM簽署。