DKIMは、受信側がDNS上の公開鍵に対してメッセージ署名を検証できないときに失敗します。よくある原因は、セレクタの欠落や誤り、失効した（空の）公開鍵、転送中の本文の変更（例：メーリングリスト）、または署名ドメインがFrom:ドメインと整合しないことです。それぞれに具体的な解決策があります。
DKIM鍵は {selector}._domainkey.example.com にあります。セレクタは送信プラットフォームが選びます（例：Google Workspaceは google、Microsoft 365は selector1/selector2）。誤ったセレクタを確認すると、誤った失敗が表示されます。
レコードなし／誤セレクタ： プロバイダーの正確なTXTレコードを正確なセレクタで公開します。失効した鍵（p= が空）： 鍵が更新・無効化されています。DKIMを再有効化して再公開します。本文の変更： 転送やリストのフッターが署名後にメッセージを変えました。DMARC+DKIMの整合に頼ります。未整合： DMARCを通すには、署名ドメインがFrom:ドメインと一致（またはサブドメイン）していなければなりません。
受信メールでヘッダーを開き、DKIM-Signature 行を読みます。d= が署名ドメイン、s= がセレクタです。これでどの鍵を照会すべきか正確に分かります。
google をセレクターに置き換えます。
$ dig TXT google._domainkey.yourdomain.com +short今すぐDKIMレコードを確認
無料のDKIMチェッカーを開く →受信メールのヘッダーで DKIM-Signature 行の d= と s= を確認するか、送信プラットフォームのDKIM設定ページを見ます。s= の値がセレクタです。
公開鍵が失効しています。セレクタのレコードは存在しますが鍵がないため、すべての署名が失敗します。プロバイダーで鍵を再生成・有効化してください。
