送る側のサーバーが、秘密の鍵でメールに署名を付けます。署名を確かめるための公開の鍵は、DNS に置いておきます。受け取った側は、その鍵で署名を確かめ、メールが本当にそのドメインから送られ、途中で書き換えられていないことを確認します。
SPF が「どのサーバーから送ったか」を見るのに対して、DKIM は「メールそのもの」に付いた署名を見ます。Google は、1 日に 5,000 件を超えて Gmail のアカウントにメールを送る送信者には、SPF と DKIM の両方と、DMARC の設定を求めています。メールのサービスには、DKIM の鍵を作り、DNS に登録する手順が用意されています。
DKIM の鍵は、メールを送る仕組みごとに設定します。会社のふだんのメールのほかに、メールの配信のサービスや、サイトのフォームの自動の返信を別の仕組みから送っているなら、それぞれで設定が要ります。設定した後は、自分あてに送ったメールの詳しい情報（Gmail なら「メッセージのソースを表示」）で、DKIM の結果が通っているかを確かめます。