---
title: "DKIM"
description: "DKIM to mechanizm podpisywania e-maili kluczem kryptograficznym, potwierdzający autentyczność nadawcy. Zobacz, jak działa i jak dodać rekord DKIM w DNS."
url: "https://nodea.pl/pl/slownik-pojec/dkim"
lang: "pl"
updated: "2026-07-13"
---

# DKIM

> DKIM (DomainKeys Identified Mail) to mechanizm uwierzytelniania poczty, w którym serwer nadawcy podpisuje wiadomości kluczem prywatnym, a odbiorca weryfikuje podpis kluczem publicznym z DNS.

**DKIM** (ang. *DomainKeys Identified Mail*) to standard uwierzytelniania poczty elektronicznej, w którym serwer wysyłający dodaje do każdej wiadomości podpis kryptograficzny powiązany z domeną nadawcy. Serwer odbiorcy weryfikuje ten podpis przy użyciu klucza publicznego opublikowanego w DNS — potwierdzając, że e-mail rzeczywiście pochodzi z deklarowanej domeny i nie został zmodyfikowany po drodze.

## Jak działa DKIM?

Mechanizm opiera się na kryptografii asymetrycznej (para kluczy RSA lub Ed25519):

1. Administrator generuje parę kluczy. Klucz prywatny trafia na serwer pocztowy, a publiczny — do strefy DNS jako [rekord TXT](https://nodea.pl/pl/slownik-pojec/rekord-txt) pod nazwą *selektor.\_domainkey.domena.pl*.
2. Przy wysyłce serwer wylicza skrót (hash) wybranych nagłówków i treści wiadomości, szyfruje go kluczem prywatnym i dokleja jako nagłówek **DKIM-Signature**. Nagłówek zawiera m.in. domenę podpisującą (d=), selektor (s=) i listę podpisanych pól (h=).
3. Serwer odbiorcy pobiera z DNS klucz publiczny wskazany selektorem, odszyfrowuje podpis i porównuje skróty. Zgodność oznacza wynik **DKIM=PASS**.

Selektory pozwalają utrzymywać wiele kluczy równolegle — np. osobny dla serwera firmowego i osobny dla platformy mailingowej — oraz rotować klucze bez przerwy w działaniu.

## Zastosowanie w praktyce

DKIM jest dziś w praktyce obowiązkowy: Gmail i Yahoo od 2024 roku wymagają uwierzytelnienia od nadawców masowych, a brak podpisu drastycznie obniża [dostarczalność](https://nodea.pl/pl/slownik-pojec/deliverability). Typowa konfiguracja obejmuje: wygenerowanie kluczy (w panelu hostingu, np. DirectAdmin, zwykle jednym kliknięciem), publikację rekordu TXT, a następnie spięcie całości polityką [DMARC](https://nodea.pl/pl/slownik-pojec/dmarc), która mówi odbiorcom, co robić z wiadomościami niepodpisanymi.

Warto pamiętać, że DKIM podpisuje wiadomość, ale sam nie blokuje podszywania się pod pole „Od" — dopiero DMARC sprawdza zgodność domeny z podpisu z domeną widoczną dla użytkownika. Zalecana długość klucza RSA to minimum 2048 bitów; klucze 1024-bitowe uznaje się za zbyt słabe.

### Czy DKIM wystarczy zamiast SPF?

Nie — to mechanizmy komplementarne. SPF weryfikuje serwer nadawczy po adresie IP, a DKIM integralność i pochodzenie samej wiadomości. Dopiero razem, spięte polityką DMARC, dają pełną ochronę przed podszywaniem się pod domenę.

### Jak sprawdzić, czy DKIM działa?

Wyślij wiadomość na konto Gmail i otwórz „Pokaż oryginał" — przy poprawnej konfiguracji zobaczysz wynik DKIM: PASS wraz z domeną podpisującą. Rekord publiczny zweryfikujesz poleceniem dig TXT selektor.\_domainkey.twojadomena.pl.

## Powiązane

- [SPF](https://nodea.pl/pl/slownik-pojec/spf)
- [DMARC](https://nodea.pl/pl/slownik-pojec/dmarc)
- [Rekord TXT](https://nodea.pl/pl/slownik-pojec/rekord-txt)
- [SMTP](https://nodea.pl/pl/slownik-pojec/smtp)
- [Deliverability](https://nodea.pl/pl/slownik-pojec/deliverability)

---

Wersje językowe: [en](https://nodea.io/en/glossary/dkim.md)  
Spis treści witryny: [llms.txt](https://nodea.pl/pl/llms.txt)