用語辞典

SPF・DKIM・DMARCとは|メール認証の違いと、設定の順番(なりすまし対策)

公開日:2026-10-29

結論:まずここだけ読めばOK

1.SPFは、メールを送ってよいサーバーを、DNSに登録する仕組み。DKIMは、メールに電子署名を付けて、改ざんと送信元を確かめる仕組み。DMARCは、SPF・DKIMに失敗したメールを、どう扱うかを決める仕組み
2.DMARCは、SPFかDKIMのどちらかが、「見かけの送信元(Fromのドメイン)」と一致して合格していれば、通過とみなす
3.設定は、送信元の洗い出し → SPF → DKIM → DMARC(p=none) → レポート確認 → 段階的に厳しく、の順で進める
4.認証が通っても、安全なメールとは限らない。似たドメインから、認証を通して送る詐欺もある

詳しい手順・原因は、この下で解説しています。

用語辞典のイラスト

結論: SPF・DKIM・DMARCは、メールの送信元の「なりすまし」を防ぐ、3つの仕組みです。SPFは「送ってよいサーバーの一覧」、DKIMは「電子署名」、DMARCは「失敗した時の扱いのルール」です。DNSに設定し、DMARCは、まず「none」から始めて、段階的に厳しくするのが、安全な進め方です。

なぜ、メール認証が必要なのか

メールの「差出人」は、**簡単に偽れます。**何の対策もしなければ、他人が、あなたのドメインの名前で、メールを送る(なりすまし)ことができてしまいます。フィッシングメールなどに、悪用されます。

そこで、「そのメールは、本当に、そのドメインの持ち主から送られたか」を、受信側が確かめる仕組みが、SPF・DKIM・DMARCです。

3つの役割

メールを受け取ったサーバーが、SPF・DKIM・DMARCの3つを確認する流れの図解

仕組み	何を確かめる?	例えると
SPF	送信元のサーバーが、許可されたものか	「このサーバーから送っていい」という、名簿
DKIM	署名が正しいか(改ざんされていないか)	手紙の「封印」
DMARC	SPF・DKIMに失敗したら、どうするか	「偽物は、捨てて」という指示

SPF(Sender Policy Framework)

ドメインの**DNS(TXTレコード)**に、メールの送信を許可するサーバーを登録します。受信側は、届いたメールの送信元サーバーが、その一覧に含まれるかを確認します。

example.com  TXT  "v=spf1 include:_spf.mail-service.example ~all"

(説明用の例です。実際の値は、利用するメールサービスの案内に従ってください)

1つのドメインに、SPFのレコードは1つだけ
DNSの問い合わせが10回を超えると、失敗として扱われる

DKIM(DomainKeys Identified Mail)

送信側が、メールに、電子署名を付けます。公開鍵を、DNSに登録しておき、受信側が、その公開鍵で、署名を検証します。途中で、改ざんされていないことと、そのドメインの鍵で署名されていることが、分かります。

署名に使う鍵の見つけ方を示す名前(セレクタ)を使い、セレクタ._domainkey.example.com に登録します
実際の設定値は、メールサービスが、発行します

DMARC(Domain-based Message Authentication, Reporting and Conformance)

SPF・DKIMに失敗した時の扱いを、ドメインの持ち主が、指定します。さらに、**認証の結果の報告(レポート)**を、受け取れます。

_dmarc.example.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

DMARCは、SPFかDKIMの、どちらかが合格し、かつ、見かけの送信元(Fromのドメイン)と一致していれば、通過とみなします。

DMARCの3つのポリシー

DMARCのポリシー(none・quarantine・reject)を、段階的に厳しくする図解

ポリシー	動き	使いどころ
p=none	何もしない。レポートだけ受け取る	最初の段階。状況の把握
p=quarantine	怪しいメールを、迷惑メールとして扱わせる	正規の送信元の確認が済んだあと
p=reject	認証に失敗したメールを、受け取らせない	運用が安定したあと

設定の順番

**送信元を、洗い出す:**自社のメールサーバー、メルマガ配信サービス、問い合わせフォーム、請求システムなど、あなたのドメインで、メールを送るものすべて
**SPFを設定する:**1のうち、許可するものを、1つのレコードにまとめる
**DKIMを設定する:**メールサービスが発行する公開鍵を、DNSに登録し、署名を有効にする
**DMARCを「p=none」で設定する:**レポートの受け取り先を指定する
**レポートを確認する:**正規の送信元が、すべて認証に通っているか
「quarantine」、「reject」へ、段階的に進める

DNSの設定画面は、ドメインを管理している会社(ドメインの管理会社や、DNSのサービス)にあります(ドメインとは、DNSとは)。

受け取った側が、確認する方法

Gmailなら、メールを開き、「メッセージのソースを表示」(以前は「元のメッセージを表示」)を選ぶと、SPF・DKIM・DMARCの結果が表示されます。「PASS」なら、合格です。名称は、更新で変わることがあります。

認証が通れば、安全?

**いいえ。**認証が通っても、次のような場合があります。

似たドメイン(1文字違い、別の拡張子)を、攻撃者が取得し、そのドメインで、認証を通して送る
正規のサービスが、乗っ取られて、そこから送られる

差出人のドメイン、リンク先のURLを、必ず確認してください。見分け方は、フィッシングメールの見分け方や、URLとはで解説しています。

まとめ

SPF=送ってよいサーバーの一覧、DKIM=電子署名、DMARC=失敗した時の扱い
DMARCは、SPFかDKIMが、Fromのドメインと一致して合格すれば、通過
設定は、洗い出し → SPF → DKIM → DMARC(none) → レポート確認 → 厳しく
認証が通っても、安全とは限らない。ドメインとURLを確認する

SHAREX LINE はてブ

よくある質問

Q.3つとも、設定しないといけませんか?

A.なりすまし対策としては、3つをそろえるのが基本です。Googleなどは、大量にメールを送る事業者に、SPF・DKIM・DMARCの設定を求めています(2024年から)。大量に送らない個人や小規模なサイトでも、設定しておくと、自分のドメインの、なりすましを減らし、メールが迷惑メールになりにくくなります。条件は、各社の最新のガイドラインを確認してください。

Q.SPFのレコードは、複数書けますか?

A.1つのドメインに、SPFのレコードは、1つだけにします。複数あると、認証が失敗します。複数のサービスからメールを送る場合は、1つのレコードに、まとめて書きます。また、SPFは、DNSの問い合わせが、10回を超えると、失敗として扱われるため、サービスの追加には注意が必要です。

Q.DMARCは、最初から「reject」にしていいですか?

A.おすすめしません。正規のメール(メルマガ配信サービス、問い合わせフォームなど)が、認証に失敗して、届かなくなるおそれがあります。まず「none」で、レポートを確認し、正規の送信元をすべて把握してから、「quarantine」、「reject」へ、段階的に進めます。

Q.自分のメールが、認証を通っているか、確認できますか?

A.Gmailなら、メールを開いて、「メッセージのソースを表示」(以前は「元のメッセージを表示」)を選ぶと、SPF・DKIM・DMARCの結果(PASSなど)が表示されます。名称は、更新で変わることがあります。

Q.認証が通っていれば、そのメールは安全ですか?

A.いいえ。認証は、「そのドメインから、送られたこと」を確かめるものです。攻撃者が、似たドメイン(1文字違いなど)を取得して、そのドメインで認証を通すことも、できます。差出人のドメインや、リンク先のURLの確認は、必要です。