ホーム›ガイド›メールセキュリティ
メールセキュリティ · 理解する
SPFは、あるドメインの名義で送信できるサーバーを示します。DKIMはメッセージに署名します。DMARCは、そのいずれかが「From（差出人）」に表示されるドメインと一致するかを検証し、失敗した場合の処理を指定します。3つを組み合わせることで、第三者が自社ドメインそのものを使うことを防げます。ただし、本文は読みません。類似ドメイン、紛らわしい表示名、侵害されたアカウントはすり抜けます。
RFC 7208は、ある事実から出発しています。メールのプロトコルには、サーバーが任意の送信元アドレスを名乗ることを妨げる仕組みが何もない、ということです。SPFにより、ドメインの所有者は、その名義で送信を許可するサーバーのリストをDNSに公開でき、受信側のサーバーはその許可を検証できます。
次の2点が重要です。
1つのドメインが公開できるSPFレコードは1つだけです。メールシステム、請求書作成ソフト、ニュースレター配信ツール、CRM、スキャンした文書をメール送信する複合機など、すべての送信元をそこに記載します。
RFC 6376によれば、DKIMは、署名するドメインの所有者が、暗号署名によってメッセージに対する責任の一端を表明するための仕組みです。公開鍵はDNSにあります。署名を検証することで、署名された部分が署名後に変更されていないことが確認できます。
署名はメッセージと一緒に運ばれます。そのため、中継や転送に対してはSPFよりも強く、中継元が件名や本文を変更しない限り有効なままです。メッセージの末尾に文言を追加する配信リストは、署名を壊してしまいます。
同じRFCによれば、DKIMが行わないことは次のとおりです。メッセージを暗号化しない。検証に失敗しても拒否を義務付けない。そして、署名するドメインが「From（差出人）」に表示されるドメインと同じである必要はない。まさにこの穴を埋めるのがDMARCです。
RFC 7489は、DMARCを、ドメインの所有者がドメイン単位のポリシーを表明するための手段と定義しています。この仕組みはアラインメント（一致）に基づいています。「From（差出人）」に表示されるアドレスのドメインが、SPFまたはDKIMで検証されたドメインと一致している必要があります。どちらも一致しなければ、DMARCは失敗します。
ドメインは、その場合の希望を公開します。
DMARCにはレポートの仕組みもあります。どのサーバーがどのような結果でドメイン名義の送信を行ったかをまとめた集計レポートと、メッセージ単位の失敗レポートです。これらによって、自社名義で送信している忘れられたツールや、自社ドメインをなりすましている第三者を発見できます。
| 仕組み | 検証するもの | 確認しないもの |
|---|---|---|
| SPF | メッセージを渡すサーバーが、エンベロープのドメインについて許可されていること | 表示されるアドレス、内容 |
| DKIM | 署名されたメッセージが変更されていないこと。あるドメインがその責任を負うこと | 表示されるアドレス、内容の誠実さ |
| DMARC | 表示されるドメインがSPFまたはDKIMと一致していること。失敗時のポリシー | 似たドメイン、表示名、本文 |
防ぐのはドメインのなりすましの一部であり、フィッシング全般ではありません。RFC 7489は明確に、DMARCは視覚的に似たドメイン名も表示名の悪用も扱わず、内容の分析はその対象外であると述べています。DMARCは、不正メールのすべての問題を解決しようとするものではありません。
具体的には、DMARCは次のものを検知しません。
これらのケースには、ドメインの類似性、レピュテーション、内容、行動といった別の分析が必要です。スパム、フィッシング、マルウェア、侵害されたアカウントをご覧ください。
転送はSPFを壊すことが多く、メッセージを変更する配信リストはDKIMを壊します。その結果、正規のメッセージでDMARCが失敗します。RFC 8617（実験的ステータス）で定められたARCは、各中継者が確認した認証結果を証明できるようにします。最終的なサーバーは、それを考慮するかどうかを選択できます。
この2つは、よく混同されます。
例（説明のためのもの）。ある事務所がDMARCを「none」で公開し、最初のレポートを確認します。そこには3つの送信元が見つかります。正しく一致しているメールシステム、事務所のドメインでDKIM署名なしに請求書を送る請求書作成ソフト、そして事務所の名義で数百通のメッセージを送信している海外の不明なサーバーです。事務所は請求書作成ソフトを修正し、問題のないレポートサイクルを待ってから、「quarantine」に移行します。以後、DMARCを適用する受信者は、不明なサーバーからのメッセージを疑わしいものとして扱います。
メールシステムを変更する際は、MXを切り替える前にこれらのレコードを準備します。その手順はメールを中断なく移行する方法のガイドで説明しているため、ここでは繰り返しません。
いいえ。レポートによる観察ができるだけです。保護は「quarantine」または「reject」から始まります。
もっとも多いのは、転送、配信リスト、またはSPFに登録されておらずDKIM署名もしないまま自社名義で送信しているサービスです。
送信経路上に置いたゲートウェイが代わりに署名できます。既存のメールシステムを守るをご覧ください。
メッセージのヘッダーです。Klytic MTAについては、フィルターの判定を読み取り、エクスポートするをご覧ください。
Klytic MTAは、どのメールシステムの前段でも、この2つのテーマに対応します。
DMARCは1つの層にすぎません。Klytic MTAは、類似ドメイン、表示名、詐欺シナリオの検知を加えます。その内容はなりすましとCEO詐欺で説明しています。
Klytic Mailをお使いの場合、SPF、DKIM、DMARCはお客様のドメイン用に設定されています。これは送信するドメインの保護です。Klytic MTAは、Klytic Mailの有無にかかわらずご契約いただけます。
2026年10月に参照。
