selector 决定 DNS 主机名
发件方在 DKIM-Signature 中写入域名 d= 和 selector s=。收件方组合出以下查询地址：
[selector]._domainkey.[domain] 示例： s=selector1; d=example.com selector1._domainkey.example.com
三种可靠来源
- 邮件服务商后台提供的 DNS 安装说明。
- 一封由该系统真实发送的邮件头，查看
DKIM-Signature的s=。 - 组织内部保存的 DNS 变更记录。
常见名称如 google、selector1 或日期只能作为线索，不能证明某个域名没有其他 selector。服务商也可能同时轮换多个 key。
查到记录后检查什么
- DNS 主机名和 selector 是否完全一致。
- TXT 或 CNAME 是否按服务商要求公开解析。
- public key 的
p=是否为空；空值表示 key 已撤销。 - 真实邮件是否出现
dkim=pass，以及签名域是否与 From 对齐。
“找到 public key”只证明 DNS 记录存在。完整验证仍需要一封真实邮件的签名结果。
轮换 key 时避免中断
先发布新 selector，确认新邮件开始使用并通过验证，再保留旧 key 一段足以覆盖延迟邮件的时间，最后撤销或删除旧 key。不要先删除正在使用的 selector。