在单独的名称服务器上托管 DKIM 记录

Question

对于组织，我们将 _domainkey.domain.com 设置为单独的区域，而不是在我们的根域区域 domain.com 上创建所有 DKIM 记录。

因此，_domainkey.domain.com 和 domain.com 的名称服务器是不同的。

这是可以接受的吗？

许多 ESP 正在正确验证我们的 DKIM 设置。一个主要的 ESP 没有进行验证，他们说这是因为 _domainkey.domain.com 和 domain.com 的名称服务器必须相同，以便邮件提供商通过 DKIM 身份验证。然而，当我们向 Gmail 发送测试时，它确实通过了 DKIM。

这家公司有错吗？或者您可以将两者托管在不同的名称服务器上吗？

Answer 1

RFC 4871解决了与其父域没有行政关系的子域的一些问题，即.com控制example.comDKIM 记录的运营商，并且对于正常的 DNS 授权，无法保证管理控制的削减在哪里（即虚 TLD 域，例如因为.walmart相比walmart.co.uk有差异的两个级别，其中管理控制开始，且甚至可以变得更深）。
RFC 认为这是可接受的风险，其原因与正常域委派可接受的原因相同。

因此，据我所知，子域的子域委派_domainkey.并不是完全禁止的，应该遵循这种 DNS 委派，但第 8.13 节还说：

请注意，验证者可能会忽略来自不太可能的域的签名......