Просто оставляю это здесь, может кому-то поможет. Несколько часов возился, чтобы это заработало. Вот что я изначально сделал, чтобы включить ключи DKIM: создал селектор (pmg2021), поставил галочку на подпись исходящей почты. Посмотрел запись DNS, добавил домен для подписи. Но DKIM так и не становился валидным, что бы я ни делал. Тесты MXTOOLBOX (и другие) показывали, что запись DKIM валидна. Google же выдавал примерно вот такое:  
Код:  
ARC-Authentication-Results: i=1; mx.google.com;  
dkim=fail header.i=@example.com header.s=pmg2021 header.b=PRuLiID1;

Проблему решил повторной генерацией ключей. Публичный ключ нигде в системе найти не смог, но видно, что приватный ключ перезаписывался, если посмотреть файл /etc/pmg/dkim/pmg2021.private. Хотелось бы использовать что-то вроде этого для проверки правильности ключей, если кто подскажет, куда копать (проверить fingerprint):  
Код:  
ssh-keygen -l -f /etc/pmg/dkim/pmg2021.private  
ssh-keygen -l -f /etc/pmg/PUBLIC_KEY_WHERE-EVER-YOU-ARE

В общем: редактируем селектор, оставляем его PMG2021 с размером ключа 2048, ставим галочку на перезапись существующего файла, кликаем кнопку просмотра записи DNS.  
Ещё момент: для DKIM-записи нужны оба значения. Я не привык видеть запись именно так, и это тоже создавало проблемы. Текстовая запись в итоге выглядит примерно так:  
Selector  
Код:  
pmg2021._domainkey  
Value  
Код:  
"v=DKIM1; h=sha256; k=rsa; "p=первый_длинный_ключ_от_pmg" "второй_короткий_ключ_от_pmg"

Проверяем через mxtoolbox dkim checker.  
Снова тестируем в Google:  
Код:  
ARC-Authentication-Results: i=1; mx.google.com;  
dkim=pass header.i=@example.com header.s=pmg2021 header.b=YxEWmdGn;