Defaults.Exposed › 設置 › DKIM

如何在 Cloudflare 上設定 DKIM

在 Cloudflare DNS 中發布郵件服務商的 DKIM 金鑰，讓你發出的郵件帶上無法被篡改的簽章。

這件事為什麼關係到你的業務

DKIM（網域金鑰識別郵件）會給你發出的每一封郵件加上一個看不見的數位簽章。收件方的郵件服務商用你發布在 DNS 中的公鑰來確認兩件事：這封郵件確實來自你的網域，而且在傳輸途中沒有被人改動過。

說得直白些：DKIM 就是給你的郵件蓋上一枚真偽防偽章。它讓假冒你更難得逞，也讓你真正發出的郵件更有機會進入對方收件匣、而不是被丟進垃圾郵件。和其他記錄一樣，它是免費的，設定一次即可。

重點：DKIM 分成兩半

DKIM 是所有記錄裡最講究「誰負責哪一步」的一個：

金鑰由你的郵件服務商產生。 Google Workspace、Microsoft 365，或者其他替你託管信箱的服務商，會在它們自己的管理後台裡為你產生 DKIM 金鑰。這個值你無法自己編造，必須從它們那裡拿到準確的主機名稱和值。Cloudflare 不產生 DKIM 金鑰；它是你的 DNS 託管商，不是你的信箱服務商。
由 Cloudflare 來發布。 然後你把這個金鑰新增到你網域在 Cloudflare 的 DNS 裡（前提是 Cloudflare 負責管理你的 DNS——見下文）。

所以：在郵件平台裡產生，在 DNS 託管處發布。

第一步，確認 DNS 由 Cloudflare 管理

DKIM 記錄只有在 Cloudflare 負責解析你網域的 DNS 時才會生效。只有當你網域的網域伺服器（nameservers）（在你的註冊商處設定）指向 Cloudflare 主控台裡顯示的那幾個 Cloudflare 網域伺服器時，Cloudflare 的 DNS 才是生效狀態。在 Cloudflare 裡開啟你的網域，查看 Overview（概覽）頁——它會告訴你 Cloudflare 是否處於啟用狀態。如果你的網域伺服器指向另一家服務商，請到那家去新增 DKIM 記錄；加在 Cloudflare 這裡不會生效。

從郵件服務商處獲取金鑰

在你郵件服務商的管理後台裡，找到 DKIM 或郵件身份驗證設定，產生/啟用一個金鑰。它會給你兩段文字：

一個主機名稱/選擇器（selector），類似 google._domainkey 或 selector1._domainkey。
一個很長的值，以 v=DKIM1; 開頭，後面跟著 k=rsa; p= 以及一長串字元（也就是公鑰）。

把兩者一字不差地複製下來。

在 Cloudflare 上的分步操作

登入 Cloudflare，選中你的網域。
在左側選單進入 DNS 設定（找 DNS / Records）。
點擊 Add record（新增記錄）。
大多數 DKIM 金鑰把 Type 設為 TXT。只有在服務商特別要求時才用 CNAME——部分服務商，包括 Microsoft 365，使用指向其伺服器的 CNAME 記錄。
在 Name 一欄，只填選擇器部分——例如 google._domainkey 或 selector1._domainkey。不要在末尾加上你的網域；Cloudflare 會自動補全。
在 Content 一欄，把那段長長的金鑰值原樣貼上去。（如果是 CNAME，則改為貼上它給你的目標主機。）
TTL 保持 Auto（自動）。
點擊 Save（儲存）。

Cloudflare 上人們常踩的坑

不要把完整網域填進 Name。 如果服務商的說明顯示的是 selector1._domainkey.yourdomain.com，在 Cloudflare 裡你只填 selector1._domainkey——其餘部分系統會替你補上。再次帶上網域會產生一個出錯的主機名稱 ..yourdomain.com.yourdomain.com。
整段金鑰都要貼上——它很長。 DKIM 公鑰有數百個字元。務必確認沒有被截斷，複製貼上時也沒有混進多餘的空格或換行。Cloudflare 會在後台把過長的 TXT 值拆成多段——這是正常現象，沒有問題。
不要自己加引號。 直接貼上純值；引號由 Cloudflare 處理。手動加上的「”」會損壞這條記錄。
TXT 還是 CNAME——以服務商為準。 如果它說用 CNAME，就選 CNAME，把它給的目標主機貼進 Content 裡，別擅自改成 TXT。
如果你加的是 CNAME，請設為「僅 DNS」（灰色雲朵）。 身份驗證類記錄絕不能走代理——務必確認代理狀態顯示的是灰色雲朵而非橙色，這樣記錄才會解析到你郵件服務商的值，而不是 Cloudflare 的代理。
選擇器要完全一致。 Name 一欄裡的選擇器必須和服務商要求的逐字一致——收件方正是靠它找到對應的金鑰。
給它一點時間。 DNS 改動可能需要幾分鐘到一兩個小時才能生效，之後 DKIM 才開始驗證通過。

驗證是否生效

儲存之後，留出一點生效時間，再用本站的免費檢測跑一下。它會用大白話告訴你：你的 DKIM 記錄是否已發布、是否能被讀取到。

完成了？免費檢查您的網域以確認設置已生效——並查看您在全部 34 項檢查中的完整評級。