小さな会社のためのSPF・DKIM・DMARC入門Email authentication for small businesses
自社のドメインが、知らないうちに詐欺メールの差出人として使われていませんか。DNSに数行を追加するだけで防げることが多いのに、多くの中小企業ではまだ設定されていません。仕組みから設定手順、よくある失敗まで、順番に説明します。
2026年10月22日 · 約5分で読めます · English
なぜ今なのか
フィッシング対策協議会によると、2025年のフィッシング報告件数は2,454,297件で、前年の約1.43倍となり過去最多でした。年の前半には、実在するブランドのドメインをそのまま差出人に使った「なりすましメール」が大きな割合を占めていました。狙われたのは、DMARCを設定していないドメインや、ポリシーが「none」のままのドメインです。
これを受けて総務省は2025年9月、通信業界の団体に対し、DMARCの導入と「隔離」または「拒否」のポリシー設定などを要請しました。またGoogleは、1日5,000通以上を送る送信者にSPF・DKIM・DMARCのすべてを求めています。少ない通数でも、SPFかDKIMのどちらかは必須です。
つまり、設定していないと「なりすましに使われやすい」だけでなく、自社の正規のメールが迷惑メールになりやすいという問題も起きます。
3つの仕組み
SPF
「このドメインのメールを送ってよいサーバー」の一覧です。DNSのTXTレコードに書きます。
DKIM
メールに付ける電子署名です。受信側はDNSの公開鍵で、改ざんされていないことと送信元を確認します。
DMARC
SPFとDKIMの結果をまとめて判定し、失敗したメールをどう扱うか（何もしない・隔離・拒否）を宣言します。結果のレポートも受け取れます。
大事なのは「アライメント（一致）」です。DMARCは、受信者が目にする差出人（From）のドメインと、SPFまたはDKIMで確認されたドメインが一致しているかを見ます。SPFが通っても、別のドメインで通っているだけならDMARCは合格になりません。
設定例
架空の会社「example.co.jp」が、社員のメールにGoogle Workspaceを、通知メールに外部のメール配信サービスを使っている場合の例です。配信サービスは、メインのドメインと分けるためにサブドメイン send.example.co.jp を使います。
| 名前 | 種類 | 値（例） | 役割 |
|---|---|---|---|
example.co.jp | TXT | v=spf1 include:_spf.google.com ~all | SPF：Googleのサーバーからの送信を許可 |
google._domainkey | TXT | v=DKIM1; k=rsa; p=MIIB… | DKIM：Google管理コンソールで生成した公開鍵 |
（セレクタ）._domainkey | TXT / CNAME | 配信サービスが指定する値 | DKIM：配信サービス用の公開鍵 |
send.example.co.jp | TXT / MX | 配信サービスが指定する値 | サブドメインのSPFとエラーメールの受け取り |
_dmarc | TXT | v=DMARC1; p=none; rua=mailto:dmarc@example.co.jp | DMARC：まずは監視のみ、レポートを受け取る |
メールを一切送らないドメイン（予約しているだけのドメインなど）は、さらに簡単です。v=spf1 -all と v=DMARC1; p=reject を設定すれば、そのドメインからのメールはすべて偽物として扱われます。
段階的な導入
- 監視から始める（2〜4週間）。
p=noneとrua（集計レポートの送り先）を設定します。メールの届き方は変わらず、誰があなたのドメインで送っているかがわかります。 - 正規の送信元をすべて登録する。レポートを見ると、忘れていた送信元が見つかります。会計ソフトの請求書、予約システム、ニュースレター、問い合わせフォーム、複合機のスキャン送信などです。それぞれSPFとDKIMを設定します。
- 「隔離」に進む。正規のメールがすべて合格するようになったら
p=quarantineにします。失敗したメールは迷惑メールフォルダに入ります。 - 「拒否」で完成。しばらく問題がなければ
p=rejectにします。なりすましメールは受信側で拒否されます。サブドメインの扱いはsp=で指定できます。
よくある失敗
- SPFレコードを2つ作ってしまう。SPFは1つのドメインに1つだけです。サービスを追加するときは、既存のレコードに
include:を足します。 - DNSの参照回数の上限。SPFの評価でたどれるDNS参照は10回までです。
include:を増やしすぎると、正規のメールまで失敗します。 - 外部サービスを忘れる。いきなり
p=rejectにすると、請求書や予約確認のメールが届かなくなることがあります。必ず監視から始めましょう。 - ずっと
p=noneのまま。監視だけでは、なりすましは止まりません。2025年のフィッシングで狙われたのも、まさにこの状態のドメインでした。 - 転送でSPFが失敗する。メールが転送されるとSPFは失敗しがちですが、DKIMの署名は残ります。DKIMは必ず設定しておきましょう。
確認方法
Windowsのコマンドプロンプトでは次のように確認できます（macOSやLinuxでは dig TXT _dmarc.example.co.jp）。
nslookup -type=TXT example.co.jp
nslookup -type=TXT _dmarc.example.co.jp実際のメールでも確認できます。Gmailで自分宛てに送ったメールを開き、「メッセージのソースを表示」を選ぶと、SPF・DKIM・DMARCの結果が「PASS」と表示されていれば成功です。
DMARCだけでは足りない理由
フィッシング対策協議会の2026年のレポートによると、2025年の終わりには、攻撃者が自分で取得したよく似たドメインから、DMARCに合格するメールを送る手口が約75%に増えました。DMARCが守るのは「あなたのドメインそのもの」で、似たドメインまでは守れません。
そのため、DMARCを「拒否」まで進めたうえで、BIMI（受信箱に正式なロゴを表示する仕組み）、似たドメインの監視、社員への訓練、そしてすべてのアカウントでの多要素認証を組み合わせることが大切です。
このサイトのメールも、この手順に沿って監視の段階から設定しています。自社の設定について質問があれば、お問い合わせからお気軽にどうぞ。