Gönderen sunucu seçilmiş başlıkları ve gövdeyi özel anahtarla imzalar ve iletiye bir DKIM-Signature başlığı ekler. Başlıkta imzalayan alan adı (d=) ve bir seçici (s=) yer alır. Alıcı, açık anahtarı secici._domainkey.alanadi adresindeki TXT kaydından alır ve imzayı doğrular.
Seçiciler aynı anda birden çok anahtarın bulunmasına olanak tanır: her gönderim hizmeti için bir tane ya da anahtar yenileme sırasında eski ve yeni anahtar. Bu aynı zamanda DKIM'in yalnızca alan adına bakılarak bulunamayacağı anlamına gelir. Bir araç DKIM kaydını ancak seçiciyi biliyorsa kontrol edebilir; seçici de gerçek bir iletinin DKIM-Signature başlığında yazar.
SPF'ten farklı olarak DKIM imzası iletiyle birlikte taşındığı için yönlendirmeden genellikle etkilenmez. Aradaki bir sistem, tipik olarak bir e-posta listesi, konuyu ya da gövdeyi değiştirdiğinde bozulur. Bugün için makul tercih 2048 bit anahtarlardır. DKIM tek başına alıcılara imzasız postayla ne yapacaklarını söylemez; bu politikayı DMARC sağlar.
Örnek
sel1._domainkey.example.com. 3600 IN TXT "v=DKIM1; k=rsa; p=<public key>"
DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=sel1; h=from:to:subject; bh=...; b=...