SPF/DKIM/DMARCは、電子メールの送信元が正しいかどうかを受信側が確認するための3つの仕組みです。いずれもなりすましメールやフィッシング詐欺を防ぐ目的で使われ、組み合わせて設定することで効果を発揮します。
意味
SPFは、そのドメインからメールを送ってよいサーバーを一覧にして公開する仕組みです。受信側は送られてきたメールのサーバーが一覧に載っているかを確認します。
DKIMは、メールの内容に電子署名を付ける仕組みです。送信時にドメインの秘密鍵で署名し、受信側は公開されている鍵で検証することで、途中で内容が改ざんされていないか、本当にそのドメインから送られたかを確認できます。
DMARCは、SPFとDKIMの検証に失敗したメールをどう扱うか（受信拒否する、迷惑メール扱いにする、そのまま通すなど）をドメイン側が指定する仕組みです。あわせて、なりすましの報告を受け取る設定もできます。
これらはいずれも、ドメインを管理するDNS（インターネット上の住所録のような仕組み）にレコードを追加することで設定します。
使われる場面と具体例
- 総務やIT担当者が、取引先を装った偽メール（なりすましメール）が自社ドメインから送られるのを防ぐために設定する。
- メール配信システムやメールマガジン配信サービスを利用する際に、送信代行先のドメインをSPFに正しく登録し、迷惑メール扱いを避ける。
- 自社宛てに届く不審なメールが本物か確認するため、IT担当者がDKIMやSPFの検証結果をメールのヘッダー情報から確認する。
中小企業が押さえたい点
- 自社ドメインでメールを送る際は、利用しているメール配信サービスやシステムごとにSPF・DKIMの設定が必要です。設定漏れがあると正規のメールが迷惑メールと判定されることがあります。
- DMARCの方針は、いきなり厳格な「拒否」にせず、まず「監視のみ」から始めて影響を確認し、段階的に強めることが一般的です。
- 設定はDNSの管理画面から行うため、ドメインの管理を外部の制作会社や代理店に任せている場合は、設定変更の依頼先と手順を確認しておく必要があります。
よくある誤解
- 「迷惑メール対策ソフトを入れれば十分」と考えられがちですが、SPF/DKIM/DMARCは自社ドメインが「なりすまされる側」になるのを防ぐための仕組みであり、受信した迷惑メールを除去する仕組みとは役割が異なります。
- 3つのうち1つだけ設定すれば十分と誤解されることがありますが、DMARCはSPFとDKIMの結果を前提に判定するため、組み合わせて設定することで効果が高まります。
よくある質問
Q. 自社でメールサーバーを持っていなくても設定は必要ですか。
A. 必要です。クラウド型のメールサービスを使っていても、送信元ドメインとして設定するのは自社の管理範囲になります。
Q. 設定しないとどうなりますか。
A. 自社ドメインを装ったなりすましメールが送られても、受信側が見分けにくくなり、取引先への被害や自社の信用低下につながる可能性があります。
Q. 設定は誰に依頼すればよいですか。
A. ドメインやDNSを管理している制作会社、ITベンダー、社内のインフラ担当者に依頼するのが一般的です。
“],”related”:[“ip-address”,”domain”,”phishing”,”information-leak”]}
(関連語の配列はJSON内のreturn形式に合わせて修正します)
{“summary”:”送信元を偽ったメール（なりすまし）を防ぐための3つの技術的な仕組みです。”,”body_md”:”SPF/DKIM/DMARCは、電子メールの送信元が正しいかどうかを受信側が確認するための3つの仕組みです。いずれもなりすましメールやフィッシング詐欺を防ぐ目的で使われ、組み合わせて設定することで効果を発揮します。
意味
SPFは、そのドメインからメールを送ってよいサーバーを一覧にして公開する仕組みです。受信側は送られてきたメールのサーバーが一覧に載っているかを確認します。
DKIMは、メールの内容に電子署名を付ける仕組みです。送信時にドメインの秘密鍵で署名し、受信側は公開されている鍵で検証することで、途中で内容が改ざんされていないか、本当にそのドメインから送られたかを確認できます。
DMARCは、SPFとDKIMの検証に失敗したメールをどう扱うか（受信拒否する、迷惑メール扱いにする、そのまま通すなど）をドメイン側が指定する仕組みです。あわせて、なりすましの報告を受け取る設定もできます。
これらはいずれも、ドメインを管理するDNS（インターネット上の住所録のような仕組み）にレコードを追加することで設定します。
使われる場面と具体例
- 総務やIT担当者が、取引先を装った偽メール（なりすましメール）が自社ドメインから送られるのを防ぐために設定する。
- メール配信システムやメールマガジン配信サービスを利用する際に、送信代行先のドメインをSPFに正しく登録し、迷惑メール扱いを避ける。
- 自社宛てに届く不審なメールが本物か確認するため、IT担当者がDKIMやSPFの検証結果をメールのヘッダー情報から確認する。
中小企業が押さえたい点
- 自社ドメインでメールを送る際は、利用しているメール配信サービスやシステムごとにSPF・DKIMの設定が必要です。設定漏れがあると正規のメールが迷惑メールと判定されることがあります。
- DMARCの方針は、いきなり厳格な「拒否」にせず、まず「監視のみ」から始めて影響を確認し、段階的に強めることが一般的です。
- 設定はDNSの管理画面から行うため、ドメインの管理を外部の制作会社や代理店に任せている場合は、設定変更の依頼先と手順を確認しておく必要があります。
よくある誤解
- 「迷惑メール対策ソフトを入れれば十分」と考えられがちですが、SPF/DKIM/DMARCは自社ドメインが「なりすまされる側」になるのを防ぐための仕組みであり、受信した迷惑メールを除去する仕組みとは役割が異なります。
- 3つのうち1つだけ設定すれば十分と誤解されることがありますが、DMARCはSPFとDKIMの結果を前提に判定するため、組み合わせて設定することで効果が高まります。
よくある質問
Q. 自社でメールサーバーを持っていなくても設定は必要ですか。
A. 必要です。クラウド型のメールサービスを使っていても、送信元ドメインとして設定するのは自社の管理範囲になります。
Q. 設定しないとどうなりますか。
A. 自社ドメインを装ったなりすましメールが送られても、受信側が見分けにくくなり、取引先への被害や自社の信用低下につながる可能性があります。
Q. 設定は誰に依頼すればよいですか。
A. ドメインやDNSを管理している制作会社、ITベンダー、社内のインフラ担当者に依頼するのが一般的です。
関連する用語
関連記事
ほかの用語を探す
