最終更新日：2023年12月12日
近年、標的型攻撃やフィッシング詐欺をはじめとした、「なりすましメール」の被害が増加しています。このような脅威から身を守るため、多くの企業で「送信ドメイン認証」の導入が進められています。今回は、送信ドメイン認証の基礎知識と効果的な活用方法をご紹介します。
目次送信ドメイン認証とは送信ドメイン認証とは、差出人の送信元情報を検証し正規のサーバーから送られたメールかどうか（メールそのものが正規のものかどうか）を識別する技術のことです。具体的な特徴を解説する前に、電子メールの送受信の仕組みからご紹介します。
メール送受信の仕組み私達がスマートフォンなどで受信するメールは、「POP3サーバー」と呼ばれる受信サーバーから送られています。その際に「ユーザー認証」というプロセスを経て、メール受信者の身元を確認します。IDやパスワードが正当である場合のみ、メールを受信できる仕組みです。
一方、メール送信時は「SMTPサーバー」にアクセスした後、受信者が利用するPOP3サーバーへと転送されます。もちろん、メール送信時にも悪意ある第三者やウイルスなどによる、なりすましメールを防ぐためのIDやパスワードで認証を行うSMTP認証があり、普及しています。
しかしながら、なりすましメールを防ぐには、これらの対策だけでは不十分です。
実は、電子メールが仕組みとして持つ2つのFromアドレスが関係しています。
1つめは、エンベロープFrom（Envelope-From）アドレスです。郵送物にたとえると、封筒に記載されている差出人名です。SMTPという送信プロトコルのコマンドを利用して送信されるFromアドレスで、そもそもこの情報が正しくないと送信ができない本当のFromアドレスです。バウンスメールと呼ばれるメールの配送エラーを受信するのもこちらのエンベロープFromアドレスです。
もう1つは、ヘッダFrom（ Header-From）アドレスです。こちらも郵送物にたとえると、封筒の中の便箋に書かれている差出人名にあたります。こちらが仕様上、実際の差出人とは異なる情報を表示することができるアドレスとなります。いわゆるなりすましメールは、このヘッダFromアドレスを不正に変更することで送られています。残念ながら多くの人は、直接見ることができる文面の情報を信用しているからです。（エンベロープFromアドレスを調べる人はほとんどいません。）そのため、このヘッダFromアドレスがなりすましに利用されることになります。
そのため、完全になりすましメールを防ぐためには、悪用されている可能性の高いヘッダFromではなく、実際に送信に利用されているエンベロープFromアドレスを、予め設定した送信元として許可されているものかどうかを認証する必要があります。そこで役立つのが送信ドメイン認証となります。
送信ドメイン認証の意義送信ドメイン認証は、なりすましメールを排除することで結果的にスパムメールそのものが減少するという考えのもと、提唱された技術です。送信元情報をドメイン単位で検証することで、上述のとおり、ヘッダFromアドレスを詐称したなりすましメールを検知します。現在はインターネットプロバイダーを中心に導入されており、なりすましメールによる被害を防ぐうえで、最も有効なメール認証技術と考えられています。
さまざまな認証方式の特徴と違い送信ドメイン認証には「SPF」「DKIM」「DMARC」といった複数の認証方式が存在します。ここでは、代表的な認証方式であるSPF認証とDKIM認証の特徴をご紹介します。
SPFとはSPF（Sender Policy Framework）とは、受信メールのIPアドレスを利用し、正規の送信元が送ったメールかを検証する技術です。
まずメール送信者は、利用するDNSサーバーにIPアドレス情報を登録します。これは「SPFレコード」という形で保管され、後にメール受信者が送信元情報を照合するために利用します。
メール受信者は、受信メールのIPアドレスとSPFレコードの内容が一致するか、送信者側のDNSサーバーに問い合わせます。IPアドレスが適合した場合は受信し、適合しなかった場合は受信拒否するか、スパムフォルダにフィルタリングする仕組みです。なお、検証後の対応は利用サービスやメールソフトによって変わります。
DKIMとはDKIM（DomainKeys Identified Mail）とは、受信メールに付与された電子署名情報をもとになりすましを特定する電子署名方式の認証技術のことです。
メール送信者がやるべきことは、大きく2つあります。1つは、DNSサーバーのテキストレコードに公開鍵を登録すること、もう1つは送信メールに電子署名情報（秘密鍵）を付与することです。このプロセスを踏んだ後、通常通りメールを送信します。
続いてメール受信者は、送信メールに付与された電子署名情報をもとに、送信者側のDNSサーバーに対して公開鍵情報を要求します。取得した公開鍵で電子署名を検証し、一致した場合はメールを受信、一致しなかった場合は受信拒否などを行います。
DMARCとはDMARC（Domain-based Message Authentication, Reporting and Conformance）とは、SPF認証やDKIM認証が認証に失敗したメールを管理する仕組みのことです。
DMARCを活用するためには、事前にSPFとDKIMの設定をしておく必要があります。その上で、自社ドメインに対して「DMARCレコード」を設定して、認証にしたメールをどのように扱うかのポリシーを記述します。
詳しい内容は以下記事をご参考ください。
関連記事はこちらDMARCとは？仕組みやメリット、設定方法を徹底解説
それぞれの認証方法の違いまず、SPFとDKIMの違いについて説明します。
SPFとDKIMの大きな違いは、その検証内容にあります。SPFは、IPアドレス情報をもとになりすましかどうかを特定しますが、メール