01
なぜ自社のメールアドレスが悪用されるのか
メールの仕組みは古く、もともと「差出人を名乗るだけ」で送れてしまいます。対策をしていないドメインは、第三者が自社を名乗ってメールを送っても、受け取った側が本物かどうかを判断しにくい状態です。
- 取引先がだまされる: 自社を名乗る偽の請求書や口座変更の連絡が届く
- 会社の信用が落ちる: 「あの会社からスパムが来た」と思われる
- 本物のメールが届かない: 送信元を証明できないメールは、迷惑メールに入れられやすい
AI で自然な文章の偽メールが簡単に作れるようになった今、「文面で見分ける」より、「送信元を技術で証明する」ことの重要性が増しています。
02
3 つの仕組みを一言で
| 仕組み | 一言で | たとえるなら |
|---|---|---|
| SPF | このドメインのメールを送ってよいサーバーの一覧を公開する | 「この郵便局から出したものだけが本物です」という届け出 |
| DKIM | 送ったメールに電子署名を付け、途中で書き換えられていないことを証明する | 封筒に押す、本人しか持っていない印鑑 |
| DMARC | SPF・DKIM の確認に失敗したメールを、受け取った側にどう扱ってほしいかを伝える | 「印鑑のないものは捨ててください」という指示書 |
SPF と DKIM で「本物であること」を示し、DMARC で「偽物の扱い方」を伝えます。3 つそろって初めて、なりすましへの守りとして働きます。
03
Gmail の送信者ガイドライン（2024 年 2 月から）
Google は 2024 年 2 月から、Gmail 宛てにメールを送る送信者に次の対応を求めています。
- すべての送信者: SPF か DKIM の少なくとも一方を設定する
- Gmail 宛てに 1 日 5,000 通以上送る送信者: SPF と DKIM の両方に加えて DMARC を設定し、差出人のドメインと認証のドメインをそろえる。メールマガジンなどでは、ワンクリックでの配信停止にも対応する
5,000 通に届かない会社でも、設定しておけば迷惑メールに入りにくくなります。Yahoo! メールなど他の大手も、同じ方向の要件を打ち出しています。
04
自社の設定を確かめる
- 1自社が何でメールを送っているかを書き出す: 社員のメール（Google Workspace・Microsoft 365・レンタルサーバーなど）、問い合わせフォームの通知、メールマガジン、請求書の送信サービスなど
- 2Gmail で自社から届いたメールを開き、「メッセージのソースを表示」を見る: SPF・DKIM・DMARC がそれぞれ PASS になっているか確認できる
- 3DNS の設定を確認する: ドメインを管理している会社（レジストラやサーバー会社）の管理画面で、TXT レコードとして設定されているかを見る
見落としやすいのは、社員のメール以外の送信元です。フォームの通知やメール配信サービスが SPF の一覧に入っていないと、そこから送ったメールだけが届かなくなります。
05
進め方 — いきなり厳しくしない
| 段階 | DMARC の設定 | 目的 |
|---|---|---|
| 1. 様子を見る | p=none（何もしないで報告だけもらう） | 自社のどの送信元が認証に失敗しているかを把握する |
| 2. 一部を隔離 | p=quarantine（迷惑メールに入れてもらう） | 失敗している送信元を直したうえで、偽物を受信者から遠ざける |
| 3. 拒否 | p=reject（受け取りを拒否してもらう） | なりすましメールを届かせない |
最初から「拒否」にすると、設定漏れのある自社の正しいメールまで届かなくなることがあります。まず様子を見る設定で始め、報告を見ながら段階的に強めるのが安全です。
参考までに、このサイト（co-craft.net）は、通知メールの送信サービスで SPF と DKIM を設定し、DMARC は様子を見る設定（p=none）から始めています。
Q&A
よくあるご質問
- SPF・DKIM・DMARC は全部必要ですか？
- なりすまし対策として働かせるには 3 つそろえるのが基本です。Gmail の要件では、すべての送信者は SPF か DKIM の一方、1 日 5,000 通以上送る送信者は 3 つすべてが必要とされています。
- 自社で設定できますか？
- ドメインの管理画面で TXT レコードを追加する作業なので、手順が分かれば自社でも設定できます。ただし、送信元の漏れがあると自社のメールが届かなくなるため、送信元をすべて洗い出してから進めてください。不安なら制作会社やサーバー会社に依頼しましょう。
- DMARC を設定したらメールが届かなくなりました。
- DMARC を厳しい設定（隔離・拒否）にしていて、SPF の一覧に入っていない送信元がある可能性があります。いったん様子を見る設定（p=none）に戻し、届かなくなった送信元を SPF や DKIM に追加してから、段階的に強めてください。
- なりすましメールが送られていると取引先から連絡がありました。
- まず取引先に、それが自社からのものではないことを伝え、本文のリンクを開かない・返信しないよう依頼してください。そのうえで、SPF・DKIM・DMARC の設定を確認し、DMARC を段階的に強めることで、偽のメールを届きにくくできます。
- ホームページの問い合わせフォームの通知メールも対象ですか？
- 対象です。フォームの通知を自社のドメインのアドレスから送っている場合、その送信元も SPF や DKIM に含める必要があります。Co-Craft では、サイトを作るときに通知メールの送信設定までまとめて行います。
1
2
3
4
5
関連ページ