dkim=none — そもそも署名が付いていない

dkim=none は「メールにDKIM署名が付いていない」という意味です。検証に失敗した dkim=fail とは違い、照合するものが最初から無かった状態です。

原因は3つ

① そもそも設定していない

設定値をつくるで、お使いのサービスに合わせた値を作れます。DKIMはサービスごとに値が違うため、使っているサービスの数だけレコードが必要です。

② DNSには置いたが、サービス側で有効にしていない — 見落としやすい

DKIMは、DNSに公開鍵を置くだけでは始まりません。署名するのは送信側のサーバーなので、そのサービスの管理画面で「有効化」する操作が別に必要です。

Google Workspace なら管理コンソールでの「認証を開始」がこれにあたります。この状態はDNSからは確認できません。診断が「設定済み」と出ていても、実際のメールに署名が付いていないことがあります。一方、DNSに置いた鍵を見て自動で署名を切り替えるサービスもあり、その場合は管理画面での操作は要りません。どちらなのかは、お使いのサービスの手順を確認してください。

③ 署名は付いているが、他社のドメイン名義になっている（第三者署名）

配信サービスの初期状態では、サービス自身のドメインで署名されていることがあります。この場合ヘッダーには dkim=pass と出ますが、d= がサービスのドメインです。

dkim=pass header.d=esp.example.net   ← 配信サービスの署名（第三者署名）
dkim=pass header.d=yourdomain.com    ← 自社ドメインの署名（これが必要）

DMARCの観点では、前者は合格に数えられません。自社ドメインでの署名に切り替えてください。

「確認できず」と none は違います

このサイトの診断で「確認できず」と出るのは、none（署名が無い）という意味ではありません。

DKIMのセレクタ名は自由に決められるため、外部からは総当たりで探すしかありません。独自のセレクタを使っている場合、代表的な名前を試しても見つからないことがあります。設定済みでも「確認できず」になりえます。

確実に判定するには、届いたメールのヘッダーを完全判定に貼り付けてください。実際に使われたセレクタが s= に書かれているので、総当たりが不要になります（→DKIMセレクタの調べ方）。

放置するとどうなるか

Gmail・Yahoo!メール・Outlook.com は、一括送信者にSPFとDKIMの両方を求めています。DKIMが無いと要件を満たせません。

さらに、転送されるとSPFは構造的に失敗します。そのときDKIMが無ければ、DMARCは合格できません。SPFとDKIMは、どちらか一方ではなく両方そろえてください。