Ссылку на результаты теста, в студию, это раз.

Ту же самую проверку подписи сделать на https://mxtoolbox.com (там обычно сообщения более информативны), это два.

либо подписанный хидер удалил, либо тельце поменял после подписи. обычно так.

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDX7NxZn+Cnj+5DMD1hDnCTDGxLTJxofVwLIx1qGC+LMFh4ABGC4pB/HkR8l0odSpCaNoMy9SZBskqivdcLvdLSuJEJ26ZjZQl4NJMqdPsTV3QdC4g8R1RLVVcJo/2RBrNN1f0fE3preTLG1SM0yFY3sUexYxBlNm2OO0fxK5C0SwIDAQAB

Tag TagValue Name Description v DKIM1 Version The DKIM record version. k rsa Key type The type of the key used by tag (p). p MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDX 7NxZn+Cnj+5DMD1hDnCTDGxLTJxofVwLIx1qGC+L MFh4ABGC4pB/HkR8l0odSpCaNoMy9SZBskqivdcL vdLSuJEJ26ZjZQl4NJMqdPsTV3QdC4g8R1RLVVcJ o/2RBrNN1f0fE3preTLG1SM0yFY3sUexYxBlNm2O O0fxK5C0SwIDAQAB Public Key Public-key data. The syntax and semantics of this tag value before being encoded in base64 are defined by the (k) tag. Test Result DNS Record Published DNS Record found

Я просил ссылку на результаты теста на mailtester.com, ну или хотя бы скрин с этих результатов, если не хочешь светить адреса.

А так, могу предположить, что нужно записать публичный ключ в одну строку без переносов строк, прежде, чем пихать его в DNS-запись.

И да используй вот это www.linux.org.ru/help/lorcode.md

https://pastenow.ru/07ef239c75b1a6cd2fcbd307eb8960e7

Значит, твой MTA неверно формирует/подписывает сообщение, либо ты ему подсунул не тот ключ.

Публичный ключ DKIM в TXT-записи валидный, следовательно мусор у тебя появляется именно в заголовке письма.

Чем подписываешь, opendkim ?

Конфиг opendkim сюда выложи, народ посмотрит, разберёмся :-)

На всякий случай мой рабочий конфиг.

AutoRestart Yes
AutoRestartRate 10/1h
PidFile /var/run/opendkim/opendkim.pid
Mode sv
Syslog yes
SyslogSuccess yes
LogWhy yes
UserID opendkim:opendkim
Socket inet:8891@localhost
Umask 022
Canonicalization relaxed/relaxed
Selector default
MinimumKeyBits 1024
KeyFile /etc/postfix/opendkim/domain.tld
KeyTable /etc/postfix/opendkim/keytable
SigningTable refile:/etc/postfix/opendkim/signingtable

Я бы обратил внимание на OversignHeaders

Там точно все правильно настроено?

Тут обрати внимание на эту цитату

Note that listing a field name here and not listing it in the SignHeaders list is likely to generate invalid signatures.

Я бы советовал сделать конфиг попроще.

MrClon, что скажешь?

Здесь была похожая ситуация https://toster.ru/q/382064

всем спасибо, кажется беда на стороне яндекса (куда делегирован домен). из соседней учетки подключили домен (с того же яндекса) и всразу все заработало. ключи по апи запрашивал (не генерировал) написал им в саппорт жду ответа. 4 дня подряд с разными спецами общались пытались найти проблемы - все впустую. через другие серверы направляли почту. ничего не помогало)

кажется беда на стороне яндекса (куда делегирован домен). из соседней учетки подключили домен (с того же яндекса) и всразу все заработало.

А может быть, это просто ты не тот ключ в opendkim использовал? :)

ЯНДЕКС нехорошие

нет. ключ я раз 500 проверил за месяц. и до сих пор проблема не решена яндексом. другие 3 домена отлично работают с таким же настройками dns и opendkim!