DKIM для виртуальных доменов, ищу правильное решение...

Я думаю, что не пройдет. Суть DKIM в проверке того, что письмо действительно отправлено человеком, который имеет какое-то отношение к домену из поля from.

Скорее всего проверка обломается если в from будет domain1.com, а в DKIM d=domain2.com

Хотя я не пробовал и не разбирался.

Хотя не.

http://www.dkim.org/specs/draft-ietf-dkim-deployment-11.html#rfc.section.6.3

Third Party Signature

A signature whose domain does not match the domain of the RFC5322.From address is sometimes referred to as a third party signature. In certain cases even the parent domain signature described above would be considered a third party signature because it would not be an exact match for the domain in the RFC5322.From address.

наверное оно.

Практика показывает, что DKIM почти никем не поддерживается, у меня он висит давно, парсил логи, смотрел сколько писем приходит с подписями - мизер.

А так - сделай просто одну подпись на все домены и добавляй ее в зону через $INCLUDE

Без DKIM я, например, на gmail.com в спам попадаю...

Ну, это не проблема DKIM или гмыла, это проблема конкретно твоего почтаря. Гмыло не делает выводов о спаме только по наличию подписи, ессесноо.

Но, в общем, конечно лучше его юзать, чем нет.

можно упростить, всем доменам сделать одинаковые ключи, но подписывать индивидуально, чтобы значение d= было равно домену в From.

А SPF не спасет отца русской демократии?

Есть и SPF - «v=spf1 mx -all», но если отключаю DKIM то простое сообщение «Test» попадает в спам на gmail-e, включаю DKIM - то же самое сообщение (Subj & Body) попадает во входящие... Но суть не в этом, просто было интересно - можно ли одним сертификатом для MX подписывать сообщение со всех доменов, по спецификации вроде как можно (sergej выше давал ссылку), надо будет попробовать... думал у кого-то был.есть реальный опыт

Но что-то мучает меня вопрос - может быть не обязательно иметь собственную DKIM подпись и запись в DNS каждого домена?

Обязательно. Ибо проверка dkim для письма делается на основе выхлопа днс. А т.к. в письме может быть все что угодно, то верить можно только ответу днс-сервера.