DKIMガイド：概要、仕組み、設定方法

DKIMとは何か？

DomainKeys Identified Mail（DKIM）は、公開鍵暗号技術を用いて、電子メールが実際にそのドメインから送信されたものであり、送信後に改ざんされていないことを検証する電子メール認証プロトコルです。DKIMは、送信サーバーのIPアドレスのみに依存するのではなく、送信されるすべての電子メールに一意のデジタル署名を付加します。

受信メールサーバーがメッセージを受信すると、DNSから公開鍵を取得し、それを使って署名の検証を行います。署名が一致すれば、そのメッセージはDKIM認証に合格します。

DKIMの仕組み

DKIMは、秘密鍵と公開鍵という一対の暗号鍵を用いて機能します。

秘密鍵は、送信メールサーバーまたはメールサービスプロバイダーに安全に保管されます。メールが送信されるたびに、この秘密鍵は、本文や指定されたヘッダーなど、メッセージの特定の部分に基づいて一意のデジタル署名を生成します。その後、この署名は「DKIM-Signature」ヘッダーとしてメールに追加されます。

メールが受信者に届くと、受信者のメールサーバーはヘッダーから署名ドメインとセレクタを抽出し、DNSレコードから対応する公開鍵を取得して、署名を検証します。

すべてが一致すれば、DKIMは合格となります。署名後にメールが改ざんされていた場合や、署名を検証できない場合は、認証に失敗します。

DKIMレコードの構文解説

DKIMの公開鍵は、DNSのTXTレコードとして公開されます。このレコードは、受信メールサーバーに対し、メールに添付された署名を検証する方法を指示するものです。

基本的なDKIMレコードは、次のような形式になります：

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCA...

DKIMセレクタの解説

DKIMセレクタは、特定の電子メール署名を検証するためにどの公開鍵を使用すべきかを指定します。

ドメイン全体に対して1つのDKIMキーを公開する代わりに、組織は異なるキーを指す複数のセレクタを作成することができます。これにより、異なるメールプロバイダー、アプリケーション、または部門が、互いに干渉することなく、それぞれ別の署名キーを使用できるようになります。

たとえば、マーケティングプラットフォームではあるセレクターを使ってメールに署名している一方で、Microsoft 365 では別のセレクターが使われている場合があります。一般的なセレクターは次のような形式です： selector1._domainkey.example.com

• selector1がセレクタです。
• _domainkey は、DKIM ネームスペースを識別します。
• example.comが署名ドメインです。

DKIMの設定方法

DKIMの設定には、鍵ペアの生成、DNSへの公開鍵の登録、および送信メールを対応する秘密鍵で署名するようにメールサービスを設定することが含まれます。

具体的な手順はご利用のメールプロバイダーによって多少異なりますが、全体的な流れは同じです。

• DKIM 鍵ペアの生成：ほとんどのメールプロバイダでは、DKIM を有効にすると、公開鍵と秘密鍵のペアが自動的に生成されます。
• 公開鍵を公開する：提供されたDKIMレコードを、ドメインのDNSにTXTレコード（実装によってはCNAMEレコード）として追加してください。
• DKIM署名を有効にする：メールプラットフォームでDKIM署名を有効にし、送信されるすべてのメールにDKIM-Signatureヘッダーが含まれるようにします。
• DNSの反映を待つ：DNSの更新は通常、数時間以内に反映されますが、プロバイダによっては最大48時間かかる場合もあります。
• 設定の検証：本番環境に移行する前に、テストメールを送信し、DKIM署名が認証を通過することを確認してください。

プロバイダー別のセットアップガイド

DKIMの確認と検証方法

DKIMレコードを公開したら、次はそれが期待通りに機能しているかを確認します。つまり、メールサービスがDKIM署名を正しく生成していること、および受信側のメールサーバーがそれらを正常に検証できることを確認します。

DKIMの徹底的な検証では、以下の点が確認されるはずです：

• 選択したドメインにはDKIMレコードが存在します。
• セレクタは正しく解決されます。
• 公開鍵は有効です。
• メールには「DKIM-Signature」ヘッダーが含まれています。
• 署名が検証に合格しました。
• DKIMは、DMARCにおける「From」ドメインと一致しています。

また、Gmail、Outlook、またはApple Mailでメッセージのヘッダーを手動で確認し、DKIM認証の結果を確認することもできます。

DKIMでよくあるエラーとその解決方法

DKIMが設定されていても、DNSの設定ミス、鍵の有効期限切れ、セレクタの誤り、あるいは転送中のメッセージの改ざんなどにより、認証に失敗することがあります。これらの問題の多くは、設定のずれやインフラの変更に起因するものであり、DKIMプロトコルそのものが原因であることはほとんどありません。

ここでは、最も一般的なDKIMエラーとそのトラブルシューティング方法について、簡単に概要を説明します：

メールプロバイダーの変更やDNSの更新後にDKIMが突然失敗し始めた場合は、正しいセレクターを使用していること、公開鍵が正常に反映されていること、およびメールプラットフォームが送信メールに確実に署名を行っていることを確認してください。

DKIMとDMARCの整合性

DKIM署名が成功したからといって、そのメールが自動的にDMARCを通過するとは限りません。

DMARCでは整合性が求められます。つまり、メールの署名に使用されるドメイン（ d= （DKIM署名内の値）は、表示されている「From:」アドレスに記載されているドメインと一致するか、その承認済みサブドメインでなければなりません。

例えば、以下のように。

• 差出人：company.com
• DKIM d=:company.com —整合済み
• DKIM d=:mailservice.com —整合が取れていません

DKIM署名の検証に成功したとしても、署名元ドメインと「From」ドメインが一致しない場合、DMARCの検証に失敗することがあります。

DMARCは2つのアラインメントモードをサポートしています：

多くの組織では、ニュースレター、トランザクションメール、あるいはマーケティングキャンペーンのために、サードパーティのメールプラットフォームを利用しています。これらのサービスが、お客様のドメインではなく自社のドメインを使用してメッセージに署名する場合、DKIMは通過しますが、不整合のためDMARCは失敗します。

プロバイダごとにカスタムDKIM署名を設定することで、認証が常に成功するよう確保できます。

DKIM キーの長さ

DKIMの有効性は、メールの署名に使用される暗号鍵に大きく依存します。

かつては1024ビットのRSA鍵が標準とされていましたが、現代のセキュリティガイドラインでは、ブルートフォース攻撃に対する防御力がより高く、現在の業界のベストプラクティスにも準拠している2048ビットのRSA鍵が推奨されています。

DKIM キーのローテーション

定期的に鍵をローテーションすることで、秘密鍵が漏洩した場合の影響を軽減し、組織が適切なメールセキュリティ対策を維持するのに役立ちます。

一般的なローテーションのプロセスには、以下の内容が含まれます：

• 新しい鍵ペアを生成しています。
• 新しいセレクタを使用して、新しい公開鍵を公開します。
• 新しいセレクタを使用してメールに署名するようにメールサーバーを設定します。
• 以前に署名済みのメールが配信されるまで、十分な時間を確保する。
• DNSから古いセレクタを削除します。

セレクタを使用することで、移行期間中は新旧のキーが共存できるため、この移行がスムーズに行えます。

複数のドメインやメールプロバイダーを管理する組織では、運用上の負担を軽減し、DKIMキーが古くなったり忘れられたりするリスクを排除するために、このプロセスを自動化することがよくあります。

DKIM 対 SPF 対 DMARC

SPF、DKIM、およびDMARCは、電子メール認証のさまざまな側面を解決するために設計された、互いに補完し合うプロトコルです。

組織は、あるプロトコルを別のプロトコルよりも優先して選択するのではなく、3つすべてを導入すべきです。例えば：

• メールを転送すると、SPFが失敗する場合があります。
• DKIMは、署名がそのまま残るため、転送後も有効なままになることがよくあります。
• DMARCでは、SPFまたはDKIMのいずれかが検証に合格し、かつ「From」ドメインと一致している場合、認証が成功したとみなされます。

これらを組み合わせることで、どのプロトコルが単独で提供できるものよりも、スプーフィング、フィッシング、なりすまし攻撃に対して格段に強力な保護を実現します。

ホスティングされたDKIM

組織の規模が拡大するにつれて、複数のメールプロバイダーにわたるDKIMの管理はますます複雑になっていきます。

さまざまなマーケティングプラットフォーム、CRMシステム、ヘルプデスク、トランザクションメールサービスでは、多くの場合、個別のDKIMセレクタ、固有のDNSレコード、および定期的な鍵の更新が必要となります。

一元的な管理が行われていないと、以下の点を見失いがちになります：

• アクティブなセレクタ
• 有効期限が切れた鍵
• 孤立したDNSレコード
• プロバイダ固有の署名設定

ホスト型DKIMは、DKIMの管理を一元化し、手動によるDNSのメンテナンスを削減することで、このプロセスを簡素化し、組織がすべての送信プラットフォームにおいて適切な認証を維持できるよう支援します。

DKIMのベストプラクティス

いくつかの運用上のベストプラクティスに従うことで、認証の信頼性と長期的な保守性の両方を大幅に向上させることができます。

定期的な監視は、初期設定と同じくらい重要です。メールプロバイダーは設定を変更し、DNSレコードは変化し、時間の経過とともに新しい送信サービスが追加されていきます。定期的な監査を行うことで、メールインフラが拡大しても、DKIMが引き続きドメインを保護し続けることを確実にすることができます。