Per abilitare DKIM per un sottodominio, analogamente a quanto accade per i domini principali, è necessario creare una coppia di chiavi privata/pubblica per DKIM, salvare la chiave privata sul server di invio e pubblicare la chiave pubblica sul sottodominio nel DNS in modo che diventi accessibile al server ricevente.
Prima che un messaggio di posta elettronica lasci il server di invio, il server utilizza la chiave privata per generare una firma e inserirla nel messaggio insieme al selettore DKIM utilizzato per la firma.
Dopo che il server ricevente ha ricevuto il messaggio, estrae il sottodominio e il selettore DKIM dal messaggio, li utilizza per recuperare la chiave pubblica dal DNS, quindi esegue la verifica DKIM come nello scenario del dominio.