DKIM: ротация ключей без потери доставки

Принцип

DKIM-подпись проверяется по selector: s=default; d=example.com. Ротация — это выпуск нового selector'а параллельно со старым, переключение MTA, и удаление старого через 2-3 дня (время жизни DNS-записи + запас).

Порядок действий

• добавить новый TXT new._domainkey с публичной частью
• перевести MTA на новый selector
• дождаться полного TTL старого кэша
• удалить старый selector

Ключи 2048 бит; p= без k= означает RSA; ed25519 пока поддерживает не каждый валидатор.