マジックリンクメールが失敗する理由：パスワードレス認証における配信の問題
by
最終更新日:
8 読了時間：約8分
企業が「マジックリンク」によるログイン機能を提供する理由は明らかです。パスワードを忘れてしまったり、再設定の手続きに時間がかかったりするため、ユーザーにとってはどちらの作業もあまり好ましくないからです。
メールでログインリンクを送信するのは、そうした問題を回避するための妥当な方法のように思えます。
しかし、よく言われるように、細部に悪魔が潜んでいるものです。このメール自体が、アカウントへのログインプロセスの一部となっているのです。もしメールが届かなければ、たとえウェブサイト上の他の機能がすべて正常に動作しているように見えても、ユーザーはログインを完了することができません。
ユーザーにスパムフォルダを確認するよう依頼したり、メールのスパムフィルター設定を変更して、一からやり直したりすると、多くの見込み客を失うことになるでしょう。一般ユーザーにとっては、あまりにも複雑すぎるからです。
配送における主な問題を解決するのが最善の策のように思えます。しかし、実際には配送でどのような問題が発生しているのでしょうか？
以下では、マジックリンク付きメールが配信に失敗する主な理由を解説し、メール配信の問題とリンク自体の問題を区別した上で、ユーザーの受信トレイに確実に届くようにするための方法を説明します。
「マジックリンクメール」とは何ですか？また、どのように機能するのでしょうか？
「マジックリンクメール」とは、ユーザーがサイトやリソースにパスワードなしでアクセスできるようにするために送信されるメールの、口語的な呼び名です。この用語のより技術的な表現としては、「パスワードレスログインリンク」や「メールサインインリンク」などがあります。
パスワードが厄介なのは、主に覚えるのに手間がかかるからです。そのため、企業では「マジックリンク」をはじめとするパスワードレス認証ソリューションが採用されています。その仕組みを、簡略化した形で順を追って説明します：
- ログインページでメールアドレスを入力します。
- このサービスでは、一時的なログイン情報が作成され、その情報が記載されたリンクがメール（マジックリンクのログインメール）で送信されます。
- リンクをクリックすると、システムがアクセス権限の有効性を素早く確認します。
- 確認に成功すれば、ログインが完了します。
このようなリンクは通常、一定期間（通常は数分）で有効期限が切れ、1回限りの使用のみ可能です。
この図では、その一連のプロセスをすべて確認できます：
この話全体におけるキーワードは「パスワードレス」ですが、だからといって保護すべきものが何もないというわけではありません。受信トレイにアクセスした人物は、そこに送信されたログインリンクを利用してしまう可能性もあります。そこで必要となるのが 二要素認証 が大きな役割を果たし、アカウントを守るだけでなく、パスワードレスログインも保護してくれるのです。
これらのメールを送信する企業にとっても、確実な配信は同様に重要です。メッセージがユーザーに届かなければ、サービスにアクセスする前にログインプロセスが中断してしまいます。
マジックリンク付きのメールが受信トレイに届かない理由
アプリのユーザー認証処理をアプリに任せる際、すべてが順調に進むとつい思い込んでしまいがちです。何しろ、これは純粋に技術的なプロセスであり、人為的なミスが入り込む余地などないからです。しかし、問題が発生しうる箇所はいくつかあります。
まずは受信サーバーと、メールが信頼できるかどうかを判断するための日常的な技術的チェックについて見ていきましょう。
SPF、DKIM、およびDMARCの設定に関する問題
送信者名が馴染みのあるものであっても、受信サーバーの検証システムによってメールが快く受け入れられるとは限りません。名前なら誰でもコピーできるからです。受信サーバーには、単なる名前だけでなく、実際に確認できる何かが必要です。
そこで、SPF、DKIM、DMARCポリシーが重要になってきます：
- SPFは、認証済みの送信サーバーを特定します。
- DKIMは、メッセージの検証に役立つデジタル署名を追加します。
- DMARCは、SPFまたはDKIMの検証に合格した結果が、表示されている送信者ドメインと一致しているかどうかを確認します。
3つの技術的なチェックを経て、そのメールを「受信」するか「拒否」するか（あるいはスパムフォルダに振り分けるか）という判断が下されます。
さらに、通常のビジネス用メールが問題なく機能していても、ログイン用のメールは最終的なDMARCチェックに失敗する可能性があります。
問題の原因を特定するには、メール配信率診断ツールを活用し、 定期的にチェックを行うだけで十分です。SPF、DKIM、DMARCの設定 を確認し、メールが受信トレイに届くかどうかをテストしてください。また、通常のメールとは送信設定が異なる可能性があるため、実際のログイン用メールアドレスでも必ずテストを行ってください。
IPアドレスおよび送信元ドメインの評判が低い
配信率に影響を与える要因としてメールの内容について検討する前に、もっと明白な要素、すなわち送信者のドメインやIPアドレスのレピュテーションについて検討する必要があります。ある意味では、これは前章で取り上げた技術的なチェックよりも重要であり（少なくともそれよりも優先される）、
レピュテーションを評価する際、メールボックスプロバイダーは、そのドメインおよび送信元IPアドレスから送信されたメールの内容を調査します：
- 受信者は、それらのメールをスパムとしてマークしていますか？
- そのIPアドレスを使って、迷惑メッセージが送信されたことはありますか？
これらの要素は、今後のメール（あなたの「マジックURL」を含むメールも含む）がどのように扱われるかに影響を与えます。
さらに、そのIPアドレスを利用しているのは貴社だけではないかもしれません。多くのメール配信サービスでは、複数の顧客を共有インフラ上で運用しています。そのIPアドレスを共有している他の利用者の評判が貴社よりも良ければ幸運ですが、必ずしもそうとは限りません。彼らの評判が低下すれば、必然的に貴社が共有しているIPアドレスの評判にも悪影響が及び、
その結果、ログインに関するメールもフィルタリングの対象になってしまう可能性があります。
スパムフィルターと不審なメールの内容
スパムフィルターは、必ずしも期待通りに機能するとは限りません。そのアルゴリズムは、主要なオペレーティングシステムやセキュリティパッチの更新のたびに再検討の対象となります。したがって、数ヶ月間「魔法のリンク」が記載されたメールを受け取り続けていたとしても、翌月にはそのメールがスパムフォルダに振り分けられる可能性は十分にあります。
スパムフィルターが基本的に行うのは、不審なメールの内容をスキャンすることです：
- ユーザーに即座の行動を迫るような、誤解を招く件名。
- スパムやフィッシングに関連付けられているリンク先ドメイン。
- ログイン通知メールに、何の目的もない予期せぬ添付ファイルが含まれている。
- 魔法のリンクが埋め込まれたメッセージに、プロモーションオファーが組み込まれています。
一部のスパムフィルターは、URL短縮サービスや複数のリダイレクトによってリンク先が隠されている場合、それを検知する際に非常に敏感に反応することがあります。スパムフィルターがメールをブロックする理由は他にも考えられるため、これはすべてを網羅したリストではありません。
もちろん、リンクや「至急」といった表現が含まれているからといって、そのメールが自動的にスパムになるわけではありません。メールのスパムフィルターは、送信者の評判など、いくつかの要素を総合的に判断します。しかし、不必要な要素が含まれていると、正当なログイン通知であっても信頼性が低下してしまう可能性があります。
ログインメールに自動的に追加される署名が含まれている場合は、その部分も確認してください。DKIM署名後に追加された署名は、余分なリンクや画像が挿入されるだけでなく、 メール認証の問題を引き起こす可能性があります を引き起こす可能性があります。
メールの「マジックリンク」が、配信後も機能しないことがある理由
ダッシュボード上では、メールが配信されたことは成功として表示されます。しかし、顧客にとっての成功とは、自分のアカウントにログインできることです。この2つの出来事の間にまだ1つのステップがあり、それが必ずしもスムーズに進むとは限りません。
リンクの有効期限切れとログイン要求の繰り返し
顧客は、アカウントへのアクセスに関するメールが届くタイミングに合わせて1日の予定を立てるわけではありません。アクセスリクエストが送信されると、顧客は電話がかかってきて、しばらくの間他のことに気を取られてしまうかもしれません。顧客が再びアカウントにアクセスしようとした時には、メールは届いているものの、その「魔法のURL」はすでに有効期限が切れてしまっているのです。
これは一時的なリンクとしては想定通りの動作です。とはいえ、配送までの待ち時間が長いため、顧客がそれを利用する機会がほとんどないとなると、苛立ちを覚えることになります。
さらに、リクエストを繰り返し送信すると、別の形の曖昧さが生じる可能性があります。送信システムの仕組みによっては、「再送信」ボタンをクリックするたびに前回のリンクが無効になり、ほぼ同じ内容のメールが複数送信されてしまうため、どれが有効なのか……あるいは無効なのか、迷ってしまうことになるでしょう。
古いメッセージを開こうとすると、すでに無効になったリンクをクリックしてしまうことがあります。さらにリクエストを送信してしまうと、すでに混乱を招いているリンクの数々に、また新たなリンクが追加されてしまうことになります。よくある悩みですよね？
使い捨てリンクを利用するセキュリティスキャナー
セキュリティスキャナーの中には、他のものよりも徹底的なものがあります。これはまさに「より良いものが、良いものの敵となる」という典型的な例であり、つまり、セキュリティシステムが単にメールの内容をスキャンして送信者のドメインを確認するだけでなく、そのメールに含まれるすべてのリンクを実際に開いてしまうような場合です。
このケースで「マジックリンク」メールがどう機能するかは、天才でなくても理解できるでしょう。そのメールに含まれるリンクは、1回限りの使用しかできません。したがって、セキュリティシステムは事実上、そのリンクを使用する権利を奪い、リンクはあなたが開く前にすでに失効してしまうのです。
そのような事態が発生した場合、再度メールを送信しても解決しない可能性があります。代替のメールも同様のセキュリティチェックを受け、まったく同じ理由で利用できなくなる可能性があるからです。
ユーザーの受信箱に配信された後の、その他の一般的なマジックリンクの失敗例としては、コンテキスト切り替え（ユーザーがさまざまなアプリケーション間を切り替えなければならないこと。これは特にモバイル端末では煩わしい）や、デバイス間の切り替えに伴う失敗（異なるデバイス間を切り替える際）などが挙げられます：
マジックリンクのメール配信率を向上させる方法
知識は力です。私たちは、マジックリンクのログインに失敗する原因となり得るあらゆる問題について、意図的に多くの時間と紙面を割いて説明してきました。それでは、ユーザーがアカウントにアクセスできなくなる原因となるメール配信の問題を、どのように解決すればよいかを見ていきましょう。
まず最初に明確にしておきたいことがあります。あらゆる配信の問題を解決できるような「これ一つ」の設定など存在しません。しかし、以下の4つの点を適切に設定することで、ログイン通知メールの信頼性を確実に高めることは可能です：
- 認証の設定を確認してください。SPF および DKIM を設定し、DMARC に必要なドメインの整合性が確保された状態で、少なくとも一方が検証に合格することを確認してください。もし ビジネス用メール とログイン用メールが同じドメインを共有している場合は、それぞれの送信設定を個別にテストしてください。
- ログインに関するメールとマーケティングメールは分けてください。 ログインメールはできるだけシンプルにしましょう。プロモーションコンテンツと混在させないようにし、特に追加のリンクを含めないようにしてください。
- メールの内容は要点を絞ってください。 マジックリンク付きのメールには、長文を書かないでください。文章が長ければ長いほど、スパムフィルタリングシステムやセキュリティアプリが不審な点を見つけ出す可能性が高くなります。
- 配信率だけにとどまらず、さらに先を見据えましょう。 「マジックリンク」メールの配信状況を追跡し、その結果を活用してパフォーマンスを向上させましょう。注目すべき点は、メッセージの到達速度、バウンス、および 受信トレイへの配信状況 。
プロのヒント： ご利用のメールサービスプロバイダーがログインリンクにクリック追跡機能を追加していないか確認し、追加されている場合はその削除を依頼してください。クリック追跡機能により、元のURLが追跡用のリダイレクトURLに置き換えられることがあり、これにより問題が発生する可能性が高まります。いずれにせよ、ログインメールにクリック追跡機能は必要ありません。
結論：パスワードレス認証において、確実な配信を不可欠な要素とする
パスワード不要の認証メールに含まれるマジックリンクは、さまざまな理由で機能しない場合があります。技術的な理由もあれば、人的な理由もあります。
送信者として、メールクライアントのダッシュボードに「配信済み」と表示されていても、配信状況の調査を怠ってはいけません。ひと手間かけて、自らログイン手順を試してみて、顧客がどこでつまずくかを確認してください。そこから得られる発見の多さや、メール配信プロセスを改善するためにできることの多さに、きっと驚くことでしょう。
お客様には、こうしたことを理解してもらう必要はありません。お客様は自分のアカウントへのアクセスを希望されたのですから、ログイン手続きはそれを簡単に行えるようにすべきです。
よくある質問
マジックリンクはパスワードよりも安全なのでしょうか？
マジックリンクは、ある点においてパスワードよりも安全です。それは、ユーザーが脆弱なパスワードを選んだり、複数のアカウントで同じパスワードを再利用したりするという既知の脆弱性を排除できるからです。しかし、その一方で別の脆弱性も生じます。それは、誰かが受信者のメールアカウントにアクセスし、そのアクセス権を悪用してしまうというものです。
マジックリンクの有効期間はどれくらいにすべきでしょうか？
「すべてのケースに通用する」という万能なウィンドウの表示時間など存在しません。魔法のようなリンクとは、ユーザーがメールクライアントを開き、メール本文を読み、リンクを見つけ、クリックするまでの十分な時間を確保できるものでなければなりません。その時間制限を設定する際には、配信の遅延やアカウントの機密性を考慮に入れる必要があります。
DMARCに合格すれば、受信トレイへの配信は保証されるのでしょうか？
いいえ、そうではありません。DMARCに合格することは、単に、表示されている送信者ドメインが、SPFやDKIMによって認証されたドメインと一致していることを確認するのに役立つだけです。DMARCポリシー以外にも、配信に失敗する原因は他にも考えられます。例えば、送信者のレピュテーションの低下、スパムと見なされるメッセージの内容、隠されたリンク、あるいは1通のメールに含まれるリンクが多すぎるといった理由が挙げられます。
「マジックリンク」のメールが届かない場合、ユーザーはどのように対応すればよいですか？
まず最初に、スパムフォルダを確認してください。送信に失敗した「マジックメール」のほとんどは、そこに振り分けられているからです。また、手動でメールアドレスを入力した際に誤りがあることもよくある問題です。この2つの手順を試しても解決しない場合は、新しいリンクをリクエストしてください。ただし、「送信」ボタンを繰り返し押さないようにしてください。それでもメールが届かない場合は、サービスのサポートチームに連絡するか、利用可能な場合は別のログイン方法を利用してください。
