企業活動に欠かせないメールですが、近年は企業やサービスを装った「なりすましメール」への対策が重要になっています。その対策として押さえておきたいのが、SPF・DKIM・DMARCという3つのメール認証技術です。名前だけを見ると難しく感じますが、いずれも「送られてきたメールが信頼できるものか」を受信側が判断するための仕組みです。適切に設定することで、自社ドメインを悪用したなりすましへの対策だけでなく、自社から送信したメールが迷惑メールとして扱われるリスクの軽減にもつながります。

1．送信元を確認する「SPF」

SPF（Sender Policy Framework）とは、そのメールを送信したサーバーが「そのドメインからメールを送ってよいサーバーなのか」を確認する仕組みです。

例えば「example.jp」というドメインを使っている企業が、自社で利用しているメールサーバーをSPFに登録しておきます。受信側のメールサーバーはメールが届いた際に、その情報と実際の送信元を照合します。登録されたサーバーから送られていれば、正規の送信元である可能性が高いと判断できます。

SPFは通常、ドメインのDNS（ドメインとサーバーなどの情報を関連付ける仕組み）に「TXTレコード」と呼ばれる形式で情報を登録します。レンタルサーバーやGoogle Workspace、Microsoft 365、メール配信サービスなど、メールを送信するサービスによって指定される設定内容が異なるため、利用しているサービスの案内に従って設定する必要があります。また、複数のサービスから同じドメインのメールを送信している場合は、それぞれの送信元を適切に含めることが重要です。

2．メールが改ざんされていないことを確認する「DKIM」

DKIM（DomainKeys Identified Mail）は、電子署名を利用して「正規のドメインから送られたメールであること」や「送信後に内容が改ざんされていないこと」を確認する仕組みです。

メールを送信する際、送信側のサーバーが秘密鍵を使って電子署名を付与します。一方、受信側はDNS上に公開されている公開鍵を使って署名を検証します。正しく検証できれば、そのメールがDKIMを設定したドメインに関連する正規の送信環境から送られ、署名対象となる内容が途中で変更されていないことを確認できます。

DKIMの設定では、まず利用しているメールサービス側でDKIMを有効にし、指定された公開鍵などの情報をDNSに登録する方法が一般的です。ただし、具体的な設定手順は利用しているサーバーやメールサービスによって異なります。SPFが主に「どのサーバーから送られたか」を確認する仕組みであるのに対し、DKIMは「電子署名が正しいか」を確認する仕組みと考えると分かりやすいでしょう。

3．SPFとDKIMを活用して認証失敗時の対応を決める「DMARC」

DMARC（Domain-based Message Authentication, Reporting and Conformance）は、SPFやDKIMの認証結果を利用して、なりすましメールへの対応方針をドメインの管理者が指定できる仕組みです。さらに、認証状況に関するレポートを受け取れることも大きな特徴です。

DMARCでは、認証に問題があるメールについて「特別な処理を求めない（none）」「迷惑メールなどとして隔離する（quarantine）」「受信を拒否する（reject）」といった方針を設定できます。ただし、DMARCでは単にSPFやDKIMが成功するだけでなく、メールのFrom欄に表示されるドメインとの整合性も確認されます。この考え方をアライメントと呼び、なりすましを見分けるうえで重要なポイントです。

DMARCもSPFと同様に、DNSへTXTレコードとして設定します。導入時からいきなり「reject」にすると、設定漏れのある正規メールまで拒否される可能性があります。そのため、まず「none」で認証状況を確認し、メールフォーム、社内メール、メールマガジン、各種クラウドサービスなど、自社ドメインを利用する送信経路を整理したうえで、段階的に「quarantine」や「reject」へ移行する方法が安全です。

まとめ｜3つを組み合わせてメールの信頼性を高めましょう

SPF・DKIM・DMARCは、それぞれ役割が異なります。SPFは送信元サーバーを確認し、DKIMは電子署名によってメールの正当性や改ざんの有無を確認し、DMARCはそれらの認証結果とFromドメインの整合性をもとに受信時の対応方針を示す仕組みです。

これらは単独で考えるのではなく、組み合わせて運用することが重要です。特に企業では、通常のメールだけでなく、Webサイトのお問い合わせフォームやメールマガジン、顧客管理システムなど、複数のサービスからメールを送信しているケースがあります。設定変更の際は、現在どこから自社ドメインのメールが送られているのかを確認したうえで進めましょう。

メール認証は一度設定すれば終わりではありません。利用するメールサービスを追加・変更した際にはSPFやDKIMの設定を見直し、DMARCのレポートも活用しながら運用することが大切です。自社ドメインの信頼性を守り、取引先や顧客へメールを確実に届けるためにも、SPF・DKIM・DMARCの設定状況を一度確認してみてはいかがでしょうか。