准备新选择器
按照邮件系统支持的流程创建新选择器和密钥对，并在开始使用前先将公钥发布到 DNS。确认 TXT 记录完整，并能从权威 DNS 查询到。
根据记录 TTL 和服务商行为考虑 DNS 传播与缓存。只要仍可能有使用旧密钥签署的邮件在传输或需要调查，就不要移除旧选择器。
切换签名并退役旧密钥
配置发送系统使用新选择器，并在接收端验证测试邮件。确认签名与预期域名对齐，且公钥查询成功。
过渡期结束后，从 DNS 删除旧公钥，并按安全流程退役私钥。记录选择器负责人和下次审查日期。
如何轮换 DKIM 签名密钥？
DKIM 轮换会替换 DNS 中发布的公钥和用于签署外发邮件的私钥。应协调签名系统与 DNS 变更，以便缓存仍保留旧公钥期间邮件也能持续验证。