SPF・DKIM・DMARCについて｜ブログ｜株式会社リヴァイト

Gmail や Microsoft 365 など主要メールサービスでは、SPF・DKIM・DMARC の設定がないメールを厳しく評価する傾向が強まっています。 メール送信時の「なりすまし」「迷惑メール判定」「到達率低下」を防ぐため、SPF・DKIM・DMARCの３つの送信ドメイン認証技術の導入が推奨されています。 本稿では、これらの技術の概要を整理したうえで、レンタルサーバを利用している場合およびドメイン管理／サーバ・メール管理を分けている場合の具体的な設定手順を解説します。 --- 送信ドメイン認証とは何か SPF（Sender Policy Framework） SPF は、メールを送信するドメインが「どのサーバ（IP）から送信を許可しているか」を DNS に記録し、受信側が送信元 IP が許可されたものかを確認する仕組みです。 送信ドメインをなりすまして送信されるメール（スプーフィング）対策の第一歩となります。 ただし、SPFだけでは「From: ヘッダーに表示されるドメイン（＝目に見える送信元ドメイン）」が保証されないため、DKIM・DMARCと併用することが望ましいです。 DKIM（DomainKeys Identified Mail） DKIM は、メールを送信する段階で「ドメイン所有者が公開鍵／秘密鍵ペアを使って電子署名」を付与し、受信側がその署名を公開鍵で検証することで、メールが送信途中で改ざんされていないか、かつ送信ドメイン側が署名を許可しているかを確認できる仕組みです。 SPFが送信元サーバを検証するのに対し、DKIMは「メールそのもの（ヘッダーや本文）の正当性・改ざん防止」を担う点が特徴です。 DMARC（Domain-based Message Authentication, Reporting & Conformance） DMARC は、SPF と DKIM が通ったかどうか、かつ「From: ヘッダーに表示されるドメイン」との整合性（アライメント）が取れているかを確認し、さらに「通らなかった場合にどう扱うか（ポリシー）」を DNS レコードで定義する仕組みです。 つまり、ドメイン所有者が「もし SPF／DKIM で認証できなかったメールが来たら、迷惑メールにする／拒否する／レポートを受け取る」といった指示を出せるようになります。 この仕組みにより、なりすまし・フィッシング攻撃によるブランド被害を防ぐ効果が高まります。 --- なぜ導入が重要か 認証されていないメールは受信側で迷惑メール判定されたり、そもそも届かないリスクがあります。 ブランド・企業として「自社ドメインから送信するメール＝信頼できる送信元」であることを示すことで、メールの到達率・受信側での評価が向上します。 特に自社ECサイト・BtoBサイトなどを運営する中で、メール（注文確認・ニュースレター・取引通知等）を自社ドメインで送信している場合、到達率やなりすまし対策として必須と言えます。 --- ① さくらのレンタルサーバ（ドメイン管理・メール管理とも同一）での設定方法 ここでは、ドメイン・メール・DNS 管理をすべて「さくらのレンタルサーバ」で行っている場合の設定手順を説明します。 さくらのレンタルサーバは SPF・DKIM・DMARC すべてに対応しており、コントロールパネルから比較的簡単に設定できます。 前提 ドメイン・メール・DNSをすべて「さくらのレンタルサーバ」で管理している前提とし、ネームサーバを「ns1.dns.ne.jp／ns2.dns.ne.jp」のようなさくら指定ネームサーバにしている場合を想定します。公式マニュアルに従った手順です。 参考：さくらのサポート情報 手順 1. コントロールパネルにログイン 「さくらのレンタルサーバ コントロールパネル」にログインします。 左メニューから ［ドメイン／SSL設定］ → 対象ドメインを選択します。 2. SPFレコードの設定 ドメイン／SSL ⇒ 対象ドメインの “設定” ⇒ 「メールドメイン設定」をクリック。 対象のドメインにて「SPFレコードの使用項目」の「利用する」にチェックを入れて「保存する」をクリック。 注意事項として： 同一ドメインに対して複数の SPF レコードを設定してはいけません。1行でまとめて記述してください。 さくら指定ネームサーバー以外を利用している場合、DNS管理元で手動登録が必要です。 3. DKIM／DMARCの設定 ドメイン／SSL ⇒ 対象ドメインの “設定” ⇒ 「DKIM/ARC設定」をクリック。 設定画面にて下記項目を入力／選択： 秘密鍵：『秘密鍵を新規作成する』を選択。 セレクタ：表示された値をそのまま使う。必要に応じて書き換え可能。 DKIMレコード：「利用する」にチェック。 DMARCレコードを同時に設定する場合：『利用する』にチェック。 DMARCポリシー（p）の選択（例：none／quarantine／reject） 集計レポート送信先（rua）のメールアドレスを入力（空欄の場合、レポート送信されません） 「設定する」ボタンをクリックして完了。設定が反映されるまで数時間程度かかる場合があります。 注意点・補足 DKIM署名が適用される条件があります。公式では下記のとおり記載されています： SMTP Auth で認証しているメール送信。 ウェブメールからの送信。 sendmailコマンドで送信している場合。 ただし、CGI等で sendmail コマンドを使わずに直接外部へメール送信している場合は DKIM が署名されない可能性があります。 DMARCポリシーを厳しく（quarantine／reject）設定する際は、誤設定により正規のメールが届かなくなる可能性もあります。公式マニュアルでは「必要なメールも認証に失敗する可能性があります…ご自身の責任で設定してください。」と明記されています。 SPFレコード設定時「さくら指定ネームサーバー利用」のみ有効、他社ネームサーバーでは手動設定が必要という注意があります。 --- ② ドメイン管理とサーバ／メール管理を別で行っている場合の設定方法 ドメインを取得・ネームサーバを管理している会社（例：お名前.com 等）と、メール送信用のサーバやレンタルサーバが別（例：メールはさくらインターネット）、という構成を想定します。このような場合、DNSレコード登録先がドメイン管理側（または外部DNSサービス）になります。 手順 ドメイン管理サービスにログインし、対象ドメインの DNS 管理画面へアクセス SPFの設定 ドメインの DNS に以下のような TXT レコードを追加。例： ホスト名：空欄（ドメイン直下） 種別：TXT 値：v=spf1 mx ip4:xxx.xxx.xxx.xxx include:sendservice.example.com all 上記は「自社MXサーバ」「送信サービスのIP／ドメインを許可」「それ以外はソフト失敗（all）」という構成の例。 送信サービスが include: 指定を案内している場合はそれを利用。 DKIMの設定 送信メールサービスが DKIM を提供している場合、公開鍵（TXTレコード）を DNS に登録する必要があります。例： ホスト名：default.domainkey 種別：TXT 値：v=DKIM1; k=rsa; p=公開鍵文字列… レンタルサーバ側でも DKIMボタン設定がある場合、DNS管理が別でも「コピーしてDNSに登録してください」という形式の手順が多いです。 DMARCの設定 DNS に以下のような TXT レコードを追加。例： ホスト名：dmarc 種別：TXT 値：v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com; ruf=mailto:dmarc-forensic@example.com;この例では「監視モード（p=none）」「集計レポート送信先指定」の構成。 運用状況を確認し、問題なければ p=quarantine もしくは p=reject に移行します。 DNS反映を待つ（数時間～24時間） 設定の確認。送信メールを自社ドメインあて、または外部あてに送信し、メールヘッダー上で「Received-SPF」「DKIM-Signature」「Authentication-Results」の項目が正しく通っているか確認。 メール配信サービスや転送設定がある場合、DMARCレポート（rua）を定期確認し、不正送信／誤設定の有無を把握する。 問題なければ運用開始。特に転送・メーリングリストの影響を受けやすいので、設定変更・運用開始時は注意を払います。 注意点・補足 ドメインのネームサーバが外部（DNSホスティング）になっている場合、レンタルサーバ側の「SPF設定をONに」だけではDNSには反映されません。必ずドメイン管理側でTXTレコードを確認してください。 複数のメール送信サービスを併用している場合（例：自社サーバ＋ニュースレター配信サービス＋サポート用メール送信サービス）、それぞれの送信元IP／ドメインを SPF の include／ip4 等で網羅しないと、認証通過しないものが発生します。 DMARCレポートを参照できるメーリングアドレス（rua, ruf）を運用できるよう体制を整えておくと、トラブル発生時にも迅速に検知・対応できます。 --- おわりに 以上、SPF・DKIM・DMARC の概要と、レンタルサーバ環境およびドメイン管理とサーバ／メール管理を分割している環境それぞれの設定手順をまとめました。 この３つを正しく設定しておくことで、到達率向上・なりすまし防止・ブランド信頼性向上といった効果が期待できます。 メールが届かない事象が発生した場合は、まずSPF・DKIM・DMARC が正しく設定されているかを確認しましょう！