如何在 Microsoft 365 中为发件域启用 DKIM 签名？

Exchange Online 默认用 onmicrosoft.com 域的 DKIM 签名；要对你自己的发件域签名，需要为域名启用 DKIM，并把微软提供的两条 CNAME 选择器记录发布到你的 DNS。

启用后系统给出类似 selector1-<域>._domainkey.<域> 与 selector2-<域>._domainkey.<域> 的 CNAME，指向微软托管的密钥。两个选择器用于密钥轮转，保证一条失效时另一条仍有效。

DKIM 签名使收件方验证邮件在传输中未被篡改；结合 SPF 与 DMARC，形成完整认证链。DKIM 通过后会写入 Authentication-Results 的 dkim=pass，DMARC 据此评估对齐。