DKIM选择器用于在DNS中定位对应公钥，换密钥既要让新发信开始使用新选择器，也要考虑仍在投递或验证的旧签名。不能只在DNS新增一条记录就宣布轮换完成，删除旧记录的时机应按服务商流程确认。
先核对当前实际签名
从已授权的真实测试邮件头查看d和s等签名信息，确认发信系统正在使用的域与选择器。DNS中存在某个公钥，不代表系统正用它签名。多个业务服务可能各自签名，不能只检查企业邮箱就覆盖营销与网站发信。
按服务商安排新旧选择器
使用供应商支持的轮换方式准备新公钥及正确记录名，避免覆盖其他系统仍使用的选择器。不同平台可能通过TXT或CNAME发布，按当前说明配置，不自行把公钥拼接到不匹配的选择器名上。
确认新签名和验证结果
新配置生效后发送受控邮件，从实际收件头核对新选择器及DKIM验证结果。服务商后台显示已启用与收件方成功验证是两项证据。传播期间不同解析服务可能有旧缓存，保持有计划的过渡而不是反复删建。
再处理旧记录与秘密
根据供应商和业务投递窗口决定旧公钥保留期限，确认没有合法系统继续使用，再移除旧DNS并收回旧私钥相关访问。私钥绝不应发布到DNS或交接文章中。记录选择器、用途及轮换结果，避免留下无法解释的长期旧记录。
关键区别
选择器：定位DNS中的公钥；不是发件账号。
DNS公钥：供收件方验证；不证明系统已签名。
签名私钥：发信端秘密材料；不得公开到DNS。
怎样确认处理到位
新邮件使用预期选择器且验证通过，所有发信系统已核对，旧记录和私钥按确认流程退役，过渡边界有记录。
容易误判的边界
不提供所有平台统一的旧记录删除天数；应按当前服务商及业务投递流程确认，而非只看DNS面板更新时间。
