SPF・DKIM・DMARC診断

メールの送信者欄は何も証明しない

メールは紙の封筒のように設計されました。差出人の住所は送る側が書き、誰も確認しません。どこの国のサーバーでも、差出人欄にあなたのドメインを表示したメッセージを送れます。後から加わった三つの仕組みがこの穴をふさぎます。三つともDNSゾーンにTXTレコードとして置かれます。

SPF（ドメインそのものに置く）

そのドメインとして送信を許されたサーバーの一覧です。受信側は接続してきたIPアドレスを一覧と照合します。

DKIM（selector._domainkeyに置く）

公開鍵です。送信サービスが対になる秘密鍵で各メッセージに署名するので、受信側は誰もメッセージを改ざんしていないこと、どのドメインが保証しているかを確認できます。

DMARC（_dmarcに置く）

自分のドメイン名でどちらの検査にも通らなかったメールへの指示です。配信する、迷惑メールに入れる、拒否する、のいずれか。毎日のレポートを受け取るメールボックスも指定します。

2024年2月から、GmailとYahooはこれらのレコードがないドメインからの大量送信メールを受け付けなくなり、2025年にはMicrosoftもOutlook.comで続きました。

診断で確認すること

まずMXレコードからメールボックスのプロバイダー（Google Workspace、Microsoft 365、Proton Mail、Fastmailほか8社）を識別します。そこから、どのSPFのincludeとどのDKIMセレクターがあるはずかがわかります。

ルックアップ回数は入れ子になったincludeをすべてたどって数えます。上限の10回が誰にも気づかれずに破られるのは、たいていそこです。サブドメインの場合、DMARCの検索は親ドメインまでさかのぼり、そのsp=の値を適用します。総合判定は三つの結果のうち最も悪いものです。三つの任意レコード（MTA-STS、TLS-RPT、BIMI）は、公開されているかどうかだけを表示します。

SPFがv=spf1 -allだけのドメインは、何も送信しないドメインとして扱います。その場合DKIMの鍵がないのは正常で、推奨するDMARCはp=rejectです。

DKIMセレクターの見つけ方

DKIMの鍵には決まった置き場所がありません。送信サービスごとにセレクターと呼ばれるラベルを選び、DNSにはそれを一覧にする方法がありません。この診断はgoogle、selector1、k1、s1など、よく使われる名前を三十数個試します。ですから「鍵が見つからない」は、単にあなたの鍵が別の名前だというだけのことがよくあります。

1. 自分のドメインから、開けるメールボックス宛てにメッセージを送ります。
2. その生のソースを表示します。Gmailなら「メッセージのソースを表示」、Outlookなら「メッセージのソースを表示」、Apple Mailなら「表示 > メッセージ > すべてのヘッダ」です。
3. DKIM-Signature:で始まる行を探し、二つのタグを読みます。d=が署名したドメイン、s=がセレクターです。

DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=mta2024; …

この例なら、セレクター欄にmta2024と入力します。d=にあなたのドメインではなくメールマガジン配信サービスの名前が出ていれば、メッセージは署名されていますが、あなたが署名したのではなく、その署名はDMARCでは数えられません。メールヘッダー解析ツールがこれらの行を読み解いてくれます。

安全な順番で直す

あなたのドメインとして送信しているものをすべて書き出してください。メールボックス、メールマガジン配信サービス、ネットショップ、ヘルプデスク、ウェブサイトのお問い合わせフォーム。それぞれを一つのSPFレコードに入れます。次に、対応しているすべてのサービスでDKIMを有効にします。DKIMは転送されても生き残りますが、SPFは生き残らないからです。

p=noneとrua=のアドレスでDMARCを公開し、DMARCレポートリーダーで数週間レポートを読みます。正当な送信元がすべて通るようになったらquarantineへ、次にrejectへ進めます。レコード作成ツールで両方のレコードを書けます。