THAI DATA CLOUD
Google G Suite Manual

DKIM บน Google Workspace: สร้างคีย์และเปิดลงนามอีเมล

เปิด DKIM ให้โดเมนบน Google Workspace ตั้งแต่สร้างคีย์ใน Admin console เพิ่มระเบียน TXT google._domainkey กด Start authentication และตรวจผลจนขึ้น pass

โดย ทีมงาน THAI DATA CLOUD อัปเดต อ่าน 11 นาที

แชร์FacebookXLINELinkedIn
DKIM — DKIM บน Google Workspace: สร้างคีย์และเปิดลงนามอีเมล
DKIM บน Google Workspace: สร้างคีย์และเปิดลงนามอีเมล

คำตอบสั้น ๆ: เปิด DKIM ให้โดเมนบน Google Workspace ตั้งแต่สร้างคีย์ใน Admin console เพิ่มระเบียน TXT google._domainkey กด Start authentication และตรวจผลจนขึ้น pass

คู่มือนี้อธิบาย DKIM ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย

DKIM (DomainKeys Identified Mail) คือการแนบลายเซ็นดิจิทัลไปกับอีเมลทุกฉบับที่ส่งออกจากโดเมนของคุณ เซิร์ฟเวอร์ปลายทางจะดึงกุญแจสาธารณะที่คุณประกาศไว้ใน DNS มาตรวจว่าอีเมลมาจากระบบที่ได้รับอนุญาตจริงและเนื้อหาไม่ถูกแก้ระหว่างทาง ถ้ายังไม่ได้ตั้งค่า Gmail จะลงนามด้วยโดเมนของ Google เอง (ลงท้ายด้วย gappssmtp.com) ซึ่งไม่ตรงกับโดเมนผู้ส่ง จึงช่วยให้ผ่าน DMARC ไม่ได้

คู่มือนี้สำหรับผู้ดูแลระบบขององค์กรที่ใช้ Google Workspace เป็นอีเมลหลัก ปัจจุบัน Gmail กำหนดให้ทุกรายที่ส่งอีเมลถึงบัญชี Gmail ต้องมี SPF หรือลายเซ็นโดเมนอย่างน้อยหนึ่งอย่าง และผู้ที่ส่งถึงบัญชี Gmail เกิน 5,000 ฉบับต่อวันต้องมีครบทั้ง SPF, DKIM และ DMARC เมื่อทำครบทุกขั้นตอน อีเมลขององค์กรจะถูกลงนามด้วยโดเมนของคุณเองและผ่านการตรวจที่ปลายทาง

สิ่งที่ต้องเตรียม

  • บัญชี Super Admin ของ Google Workspace เพราะการสร้างคีย์ในหน้า Authenticate email ต้องใช้สิทธิ์ระดับนี้
  • สิทธิ์แก้ไข DNS ของโดเมน ไม่ว่าจะอยู่ที่ผู้รับจดโดเมน Cloudflare หรือ Plesk
  • เปิดใช้ Gmail ให้โดเมนมาแล้วอย่างน้อย 24–72 ชั่วโมง ถ้าเพิ่งเปิด ระบบอาจยังสร้างคีย์ให้ไม่ได้
  • รายการระเบียน TXT ที่มีอยู่ เพื่อดูว่ามีระบบอื่นใช้ selector ชื่อ google อยู่แล้วหรือไม่
  • เครื่องที่มีคำสั่ง dig หรือ nslookup สำหรับตรวจ DNS

ถ้าองค์กรมีหลายโดเมน เช่น Secondary domain หรือ alias domain ที่ใช้ส่งอีเมลด้วย ต้องสร้างคีย์แยกให้ทุกโดเมน คีย์ของโดเมนหลักใช้แทนกันไม่ได้

ขั้นตอนเปิด DKIM ห้าขั้น ตั้งแต่สร้างคีย์ เพิ่มระเบียน TXT รอ DNS กด Start authentication จนทดสอบผลได้ pass
ทำตามลำดับนี้เพื่อไม่ให้กดเปิดใช้ก่อนที่ DNS จะพร้อม

ขั้นตอนที่ 1: เปิดหน้า Authenticate email ใน Admin console

เข้าสู่ระบบ admin.google.com ด้วยบัญชี Super Admin แล้วไปที่ Menu › Apps › Google Workspace › Gmail จากนั้นคลิก Authenticate email

ในช่อง Selected domain เลือกโดเมนที่ต้องการตั้งค่า หน้าจอจะแสดงสถานะปัจจุบันของโดเมนนั้น ถ้ายังไม่เคยตั้งค่าจะเห็นปุ่ม Generate new record และยังไม่มีค่าระเบียนให้คัดลอก

ขั้นตอนที่ 2: สร้างคีย์ DKIM

คลิก Generate new record แล้วเลือกค่าในกล่องที่เปิดขึ้น

  • DKIM key bit length: เลือก 2048 ซึ่งปลอดภัยกว่า เลือก 1024 เฉพาะเมื่อผู้ให้บริการ DNS รับค่า TXT ยาวไม่ได้
  • Prefix selector: ใช้ค่าเริ่มต้น google ได้เลย เปลี่ยนเป็นชื่ออื่นเฉพาะเมื่อโดเมนมีระเบียน google._domainkey ที่ระบบอื่นใช้อยู่

คลิก Generate หน้าจอจะแสดงข้อความ DKIM authentication settings updated พร้อมสองค่าที่ต้องนำไปใส่ใน DNS คือ DNS Host name (TXT record name) และ TXT record value ที่ขึ้นต้นด้วย v=DKIM1; k=rsa; p=

อย่าเพิ่งกด Start authentication ในขั้นนี้ เพราะ DNS ยังไม่มีกุญแจสาธารณะ ส่วนข้อความเตือน You must update the DNS records for this domain อาจค้างอยู่ได้ถึง 48 ชั่วโมง ไม่ต้องกังวลถ้าใส่ระเบียนถูกแล้ว

หน้า Authenticate email ใน Google Admin console แสดงชื่อระเบียน google._domainkey ค่า TXT ของคีย์ DKIM และปุ่ม Start authentication
หลังกด Generate จะได้ชื่อและค่าระเบียน TXT สำหรับนำไปใส่ใน DNS (ภาพจำลอง)

ขั้นตอนที่ 3: เพิ่มระเบียน TXT ที่ผู้ให้บริการ DNS

เข้าหน้าจัดการ DNS ของโดเมน แล้วสร้างระเบียนใหม่ตามค่าที่คัดลอกมา

Type : TXT
Name : google._domainkey
Value: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...IDAQAB
TTL  : 3600

ระวังชื่อระเบียน ผู้ให้บริการ DNS ส่วนใหญ่เติมชื่อโดเมนต่อท้ายให้อัตโนมัติ ถ้าพิมพ์ google._domainkey.example.com ลงไปเต็ม ๆ อาจได้ระเบียนผิดเป็น google._domainkey.example.com.example.com

คีย์ขนาด 2048 บิตยาวเกิน 255 ตัวอักษร ซึ่งเป็นขนาดสูงสุดของข้อความหนึ่งชุดใน TXT ระบบ DNS รุ่นใหม่ส่วนมากแบ่งให้เอง ถ้าหน้าจอไม่ยอมรับ ให้แบ่งค่าเป็นหลายชุดในเครื่องหมายคำพูด

google._domainkey.example.com. 3600 IN TXT ( "v=DKIM1; k=rsa; p=MIIBIjANBgkq...ส่วนแรก"
    "...ส่วนที่สอง...IDAQAB" )

ห้ามมีช่องว่างหรือขึ้นบรรทัดใหม่แทรกกลางคีย์ และอย่าลบระเบียนลายเซ็นของระบบอื่น เช่น ระบบส่งอีเมลการตลาด เพราะแต่ละระบบใช้ selector คนละชื่อและอยู่ร่วมกันได้ ทบทวนพื้นฐานระเบียน TXT ได้ใน คู่มือประเภทของ DNS Record

ขั้นตอนที่ 4: ตรวจว่า DNS เผยแพร่ระเบียนแล้ว

ก่อนกลับไปเปิดใช้งาน ให้ตรวจจากเครื่องของคุณว่าระเบียนออกสู่ภายนอกแล้ว

dig TXT google._domainkey.example.com +short

# บน Windows
nslookup -type=TXT google._domainkey.example.com

ผลลัพธ์ต้องขึ้นต้นด้วย "v=DKIM1; k=rsa; p= และค่าหลัง p= ต้องตรงกับที่ Admin console แสดงทุกตัวอักษร ถ้ายังไม่เห็น ให้รอตามค่า TTL ของโซน ซึ่งมีตั้งแต่ไม่กี่นาทีถึงหลายชั่วโมง Google ระบุว่าอาจใช้เวลาถึง 48 ชั่วโมง วิธีอ่านผล dig อย่างละเอียดอยู่ใน คู่มือตรวจสอบ DNS ด้วย nslookup และ dig

ผลคำสั่ง dig ที่ค้นระเบียน TXT google._domainkey.example.com และได้ค่า v=DKIM1 พร้อมกุญแจสาธารณะ
ถ้าคำสั่งนี้ไม่คืนค่าใด ๆ อย่าเพิ่งกด Start authentication

ขั้นตอนที่ 5: กด Start authentication

กลับไปที่ Apps › Google Workspace › Gmail › Authenticate email เลือกโดเมนเดิมใน Selected domain แล้วคลิก Start authentication

เมื่อระบบพบระเบียนที่ถูกต้อง สถานะด้านบนจะเปลี่ยนเป็น Authenticating email with DKIM นับจากนี้ Gmail จะลงนามอีเมลขาออกของโดเมนนี้ด้วยคีย์ใหม่ ถ้าระบบแจ้งว่ายังตรวจไม่พบระเบียน ให้กลับไปทำขั้นตอนที่ 4 แล้วรอสักระยะก่อนกดอีกครั้ง

ขั้นตอนที่ 6: ทดสอบด้วยอีเมลจริง

ส่งอีเมลจากบัญชีในโดเมนของคุณไปยังกล่องจดหมายภายนอกที่ใช้ Gmail หรือ Google Workspace ขององค์กรอื่น การส่งหาตัวเองใช้ทดสอบไม่ได้

เปิดอีเมลฉบับนั้นที่ฝั่งผู้รับ คลิกไอคอนสามจุดข้างปุ่ม Reply แล้วเลือก Show original ตารางด้านบนควรแสดงผลการลงนามเป็น PASS พร้อมชื่อโดเมนของคุณ และในส่วนหัวจะเห็นบรรทัดลักษณะนี้

Authentication-Results: mx.google.com;
       dkim=pass [email protected] header.s=google header.b=Ab12Cd34;
       spf=pass [email protected];
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=example.com

ค่า header.s=google คือ selector ที่ใช้ และ [email protected] ต้องเป็นโดเมนของคุณ ไม่ใช่ gappssmtp.com วิธีอ่านส่วนหัวอีเมลแบบละเอียดดูได้ใน คู่มืออ่าน Email Header

ขั้นตอนที่ 7: ต่อด้วย SPF และ DMARC

ลายเซ็นโดเมนทำงานได้ดีที่สุดเมื่อมี SPF และ DMARC ครบชุด ตรวจว่า SPF ของโดเมนมี include:_spf.google.com แล้วเริ่ม DMARC แบบเฝ้าดูก่อน

example.com.         TXT  "v=spf1 include:_spf.google.com ~all"
_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]"

ถ้ามีระบบอื่นส่งอีเมลในนามโดเมนเดียวกัน เช่น เว็บไซต์ ระบบ ERP หรือบริการส่งอีเมลการตลาด ต้องตั้งลายเซ็นของระบบเหล่านั้นแยกต่างหาก รายละเอียดอยู่ใน คู่มือตั้งค่า SPF, DKIM และ DMARC และเมื่อรายงาน DMARC เริ่มเข้ามา ใช้ คู่มืออ่านรายงาน DMARC ตรวจว่ายังมีแหล่งส่งใดไม่ผ่าน คำอธิบายฉบับเต็มจาก Google อ่านได้ที่ Set up DKIM (Google Workspace Admin Help)

เช็กลิสต์ตรวจงาน DKIM ชื่อระเบียน ค่า p= สถานะ Authenticating และผล pass รวมถึงสิ่งที่ไม่ควรทำ
ตรวจครบทุกข้อก่อนแจ้งผู้ใช้ว่าการตั้งค่าเสร็จแล้ว

ปัญหาที่พบบ่อยเกี่ยวกับ DKIM บน Google Workspace

กด Generate new record แล้วเกิดข้อผิดพลาดหรือไม่มีค่าให้คัดลอก ต้องทำอย่างไร?

สาเหตุที่พบบ่อยที่สุดคือเพิ่งเปิดใช้ Gmail ให้โดเมนไม่ถึง 24–72 ชั่วโมง ให้รอแล้วลองใหม่ อีกกรณีคือบัญชีที่ใช้ไม่ใช่ Super Admin ซึ่งเป็นสิทธิ์ที่จำเป็นสำหรับการสร้างคีย์

กด Start authentication แล้วระบบแจ้งว่ายังไม่พบระเบียน เกิดจากอะไร?

ส่วนใหญ่เป็นเพราะ DNS ยังไม่เผยแพร่ หรือชื่อระเบียนผิดจากการเติมโดเมนซ้ำ ใช้ dig ตรวจชื่อ google._domainkey.example.com ให้เห็นค่าที่ขึ้นต้นด้วย v=DKIM1 ก่อน แล้วรอตาม TTL ก่อนกดอีกครั้ง

ผู้ให้บริการ DNS ไม่รับค่า TXT ที่ยาวเกิน 255 ตัวอักษร แก้อย่างไร?

แบ่งค่าเป็นหลายชุดในเครื่องหมายคำพูดตามตัวอย่างในขั้นตอนที่ 3 ถ้าระบบยังไม่รองรับ ให้สร้างคีย์ใหม่แบบ 1024 บิตแทน ซึ่งยังใช้งานได้แต่ปลอดภัยน้อยกว่า

เปิดลายเซ็นแล้วแต่อีเมลบางฉบับยังขึ้น fail หรือไม่มีลายเซ็น เป็นเพราะอะไร?

ตรวจว่าอีเมลฉบับนั้นส่งผ่าน Gmail จริงหรือไม่ อีเมลจากเซิร์ฟเวอร์เว็บหรือระบบภายนอกจะไม่ได้ลายเซ็นจาก Google นอกจากนี้ Outbound gateway หรือระบบที่แก้เนื้อหาอีเมลหลังลงนาม เช่น การเติม footer อัตโนมัติ ทำให้ลายเซ็นเสียได้

ควรเปลี่ยนคีย์บ่อยแค่ไหน และทำอย่างไรไม่ให้อีเมลสะดุด?

หลายองค์กรเปลี่ยนคีย์ปีละครั้ง ให้กด Generate new record โดยใช้ selector ชื่อใหม่ เช่น google2026 เพิ่มระเบียน TXT ของ selector ใหม่และรอให้เผยแพร่ก่อน แล้วจึงเริ่มใช้คีย์ใหม่ตามปุ่มที่หน้า Authenticate email แสดง ระหว่างนี้อย่าลบระเบียนเดิม เก็บไว้อีกหลายวันเผื่ออีเมลที่ยังค้างในคิว แล้วจึงลบออก

หากต้องการให้ทีมงานช่วยตรวจระเบียนอีเมลทั้งชุด หรือวางแผนย้ายอีเมลองค์กรมาใช้ Google Workspace อย่างปลอดภัย ติดต่อทีมงาน THAI DATA CLOUD เราช่วยตรวจ DNS และตั้งค่าให้ได้

อ่านเพิ่มเติมเกี่ยวกับ DKIM

แชร์FacebookXLINELinkedIn

มีคำถามเรื่องบริการ? ติดต่อทีมงาน