Rotace se tyka predevsím DKIM klicu, ale principiálne platí pro vsechny kryptografické klice. Postup: 1) Vygenerovat nový pár, 2) Publikovat nový verejný klic v DNS, 3) Prepnout podepisování na nový klic, 4) Overit funkci, 5) Smazat starý DNS zaznam. DMARCeye pomáhá sledovat DKIM konfiguraci a upozornuje na zastaralé klice.