DKIM-подпись сообщений с сайта

Здесь какое-то противоречие - с какого точно адреса отсылается автоматическая почта с @yyy.xxx.ru или @xxx.ru?

Вообще, почтовые системы рекомендуют для автоматических рассылок делать выделенный поддомен типа @robot.xxx.ru - в этом случае проблемы с подписью не существует - генерируем ключи для поддомена на сервере и настраиваем подпись на Postfix.

Если же требуется отправлять подписанную почту именно с @xxx.ru, который привязан к PDD, то и отправлять тогда надо через сам яндекс. Для этого на postfix можно настроить пересылку с авторизацией типа:

/etc/postfix/main.cf:

smtp_sasl_security_options =

smtp_sasl_auth_enable = yes

smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd



relayhost = [smtp.yandex.ru]:587

/etc/postfix/sasl_passwd:

[smtp.yandex.ru]:587 yandex_user:yandex_password

собираем карту:

# postmap /etc/postfix/sasl_passwd

# chmod 0600 /etc/postfix/sasl_passwd

# chmod 0600 /etc/postfix/sasl_passwd.db

Чуть более развернуто можно посмотреть в шпаргалке "Безопасный Postfix"

Вариант с авторизацией на яндексе не нравится, т.к., насколько я понимаю, все отправленные письма будут попадать в "Отправленные" на Яндексе. Этой почтой пользуется сотрудник и его папка отправленных писем будет замусорена.

Вариант с отправкой через другую почту, которую никто не проверяет (например, No-reply@xxx.ru), совсем не устраивает, т.к. клиенты могут отвечать на наши письма. И на полученные от клиентов письма должна быть ответная реакция с нашей стороны.

Отправлять через yandex с адреса no-reply@xxx.ru. и указывать заголовок RETURN-PATH "Reply-To"

Не должно. Папка "Отправленные" - это специфика работы веб-интерфейса или почтового клиента, который явно запрашивает сохранение копии письма в отправленных. Хотя использовать почтовый ящик человека для автоматических писем - не самая хорошая идея. Скорее всего возникнет другая проблема - какое-нибудь ограничение на количество исходящих писем в единицу времени.

Можно настроить внутреннюю пересылку с noreply@ на адрес реального человека. При этом не забыть удалять письма из ящика noreply при пересылке, иначе он рано или поздно начнет представлять собой могильник.

посмотрите в сторону хедера Reply-To

Думаю, Вы сами ответили на свой вопрос :)

то есть для одного домена можно создать две txt-записи с разными публичными dkim-ключами (и разными селекторами) и обе подписи будут работать? Как-то упустил из виду возможность указания разных селекторов...

С разными селекторами (и соответственно с разыми хостами для TXT под DKIM ключ) - будет работать.

да, именно разные селекторы вас выручат. не забудьте SPF прописать еще.

я например так и настраиваю - ящики на GoogleApps(dkim) + рассылка через Mandrill(dkim).

и всё неплохо в принципе работает, подписывается и принимается.

подтверждаю, разные селекторы выручают. Все отлично подписывается! SMTP-авторизация и пр. не понадобилось.