送信ドメイン認証（SPF / DKIM / DMARC）の設定手順と、情シスを悩ませる「社内お知らせが読まれない」問題
「取引先から、メールが迷惑メールフォルダに入ると言われた」「なりすまし対策を求められた」。こうした連絡が来たら、まず見るのは、送信ドメイン認証（SPF・DKIM・DMARC）です。この記事では、Microsoft 365 を例に、DNS の設定手順と、見落としやすい落とし穴をまとめます。
3つの役割
- SPF：このドメインのメールを送ってよいサーバーの一覧を、DNS の TXT レコードで宣言する
- DKIM：メールに電子署名を付け、改ざんされていないことと、送信元のドメインを確かめられるようにする
- DMARC：SPF・DKIM に失敗したメールを、受信側がどう扱うか（何もしない／隔離／拒否）を、ドメイン所有者が指定する
設定の手順
1. SPF（TXT レコード）
Microsoft 365 だけで送るなら、次の1行です。
v=spf1 include:spf.protection.outlook.com -all
SPF のレコードは、ドメインにつき1つだけです。2つ書くと、どちらも無効になります。ほかの送信元（請求システム、メール配信サービスなど）がある場合は、1行の中に include: を足します。また、SPF の評価で参照できる DNS の問い合わせは、10回までです。include を足しすぎると、上限を超えて失敗します。
2. DKIM（CNAME レコード）
Microsoft 365 では、selector1._domainkey と selector2._domainkey の2つの CNAME を、指定された値で DNS に登録します。そのあと、Microsoft Defender のポータルで、ドメインの DKIM 署名を有効にします。
3. DMARC（TXT レコード）
_dmarc.ドメイン名 に、次のように登録します。
v=DMARC1; p=none; rua=mailto:dmarc-reports@example.co.jp
いきなり p=reject にしてはいけません。段階的に進めます。
- p=none：何もしないで、レポート（rua）だけ集める。数週間、監視する
- レポートで、自社の正規のメールが、すべて認証を通っていることを確かめる
- p=quarantine（隔離）へ上げる
- 問題がなければ、p=reject（拒否）へ上げる
落とし穴：自社の名前で送っている「外部サービス」
もっとも多い失敗は、自社のドメインで、メールを送っている外部サービスの洗い出し漏れです。
- 請求書・見積書の送信システム
- 営業支援・問い合わせ管理・メール配信サービス
- 複合機のスキャン送信、監視ツールの通知
こうした送信元を、SPF にも DKIM にも登録しないまま p=quarantine 以上にすると、自社の正規のメールが、取引先に届かなくなります。p=none の間に、DMARC レポートで、どこから送られているかを、全部洗い出してください。
それでも残る手間：社内のお知らせが、読まれない
セキュリティの設定を固めたあと、情シスにはもう1つの壁が来ます。
- 設定変更や、フィッシングの注意喚起を、全社メールで送った
- それでも、「見ていない」「知らなかった」と言われる
- 結局、総務や情シスが、一人ずつ確認して回る
メールを送ったことと、読まれたことは、別です。重要な案内ほど、読んだかどうかを確かめる手段が要ります。
補足：お知らせの「既読」を、画面で見る
KASANERU のお知らせは、出したあとに、既読の割合と、まだ読んでいない人の一覧が分かります。「重要」にすると全員に通知が届き、未読のお知らせは、ホームにも出ます。確認して回る作業が、画面を見るだけになります。
30日間、無料で試せます。
コメント