--- title: "SPF・DKIM・DMARCとは。なりすましメールへの対策｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/email-authentication-spf-dkim-dmarc/ description: "SPF・DKIM・DMARCは、自社のドメインを名乗るなりすましメールを、受け取る側で見分けやすくするための仕組みです。それぞれの役割、設定の順番、GmailとYahooの送信者の要件（2024年2月から）、運用で気をつけることを説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # SPF・DKIM・DMARCとは。なりすましメールへの対策 SPF・DKIM・DMARCは、自社のドメインを名乗るなりすましメールを、受け取る側で見分けやすくするための仕組みです。それぞれの役割、設定の順番、GmailとYahooの送信者の要件（2024年2月から）、運用で気をつけることを説明します。 2026.11.12 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） Webとシステム開発（WEB & SYSTEMS）のコラム ## この記事の要点 - SPFは送ってよいサーバーを、DKIMはメールに付けた電子署名を確かめ、DMARCはその結果と差出人のドメインの一致をもとに、合格しないメールの扱いを決めます。 - GmailとYahooは2024年2月から、大量に送る送信者にSPF・DKIM・DMARCの設定を求めており、DMARCのポリシーはnoneでもよいとしています。 - 送信元をすべて洗い出してからSPFとDKIMを整え、DMARCは監視（none）から始めてレポートを見ながら段階的に強めるのが安全な進め方です。 SPF・DKIM・DMARCは、メールの差出人に自社のドメインを名乗る偽のメールを、受け取る側のメールのサービスが見分けられるようにする仕組みです。3つは役割が違い、組み合わせて使います。自社の社員や取引先、顧客を守るためにも、自社から送るメールを確実に届けるためにも、設定しておくことが望ましいと考えられます。 ## なぜ、メールの認証が要るのですか メールの仕組みでは、差出人のアドレスを自由に書けるため、何もしなければ、誰でも自社のドメインを名乗ってメールを送れてしまいます。メールの認証は、そのメールが本当にそのドメインの持ち主が認めた方法で送られたかを、受け取る側が確かめるための仕組みです。 国内では、経済産業省・警察庁・総務省が2023年2月1日に、クレジットカード会社などに対して、利用者向けに公開するすべてのドメイン名（メールを送らないドメイン名を含む）にDMARCを導入し、受け取る側でなりすましメールの受信を拒否するポリシーで運用するよう要請しています。 出典：[クレジットカード会社等に対するフィッシング対策の強化を要請しました（経済産業省、2023年2月1日）](https://www.meti.go.jp/press/2022/02/20230201001/20230201001.html) なりすましのメールは、[フィッシング](https://www.ameliatechnology.co.jp/glossary/phishing/)や[ビジネスメール詐欺](https://www.ameliatechnology.co.jp/glossary/bec/)に使われます。社員を守る手順は、[ビジネスメール詐欺（BEC）を防ぐ社内の手順](https://www.ameliatechnology.co.jp/blog/bec-prevention-steps/)で説明しています。 ## 3つの仕組みの役割 SPFは送ってよいサーバーを確かめ、DKIMはメールに付けた電子署名を確かめ、DMARCはその2つの結果と差出人のドメインの一致をもとに、合格しないメールの扱いを決めます。 ### SPF [SPF](https://www.ameliatechnology.co.jp/glossary/spf/)とは、自社のドメインのメールを送ってよいサーバーの一覧を、DNS（ドメインの情報を公開する仕組み）に書いておき、受け取る側が送ってきたサーバーと照らし合わせる仕組みです。メールの配信サービスや、問い合わせのフォームから自動で送るサーバーなど、自社のドメインで送るすべての送信元を含める必要があります。 ### DKIM [DKIM](https://www.ameliatechnology.co.jp/glossary/dkim/)とは、送る側がメールに電子署名を付け、受け取る側がDNSに公開された鍵で署名を確かめる仕組みです。署名が確かめられれば、そのドメインの管理のもとで送られ、途中で書き換えられていないことが分かります。 ### DMARC [DMARC](https://www.ameliatechnology.co.jp/glossary/dmarc/)とは、SPFやDKIMの結果と、受け取った人に表示される差出人（From）のドメインが一致しているかをもとに、合格しなかったメールをどう扱ってほしいかを、ドメインの持ち主が宣言する仕組みです。扱いの指定（ポリシー）には、何もしない（none）、迷惑メールのフォルダに入れる（quarantine）、受け取らない（reject）の3つがあります。受け取る側から、認証の結果をまとめたレポートを受け取ることもできます。 ## GmailとYahooの送信者の要件 GoogleとYahooは、2024年2月から、自社のメールのサービスに送るときの要件を適用しています（2026年11月時点の各社の案内による）。 | 項目 | すべての送信者 | 大量に送る送信者 | |---|---|---| | 認証 | SPFかDKIMのどちらか | SPFとDKIMの両方、DMARC（ポリシーはnoneでもよい） | | 差出人のドメインの一致 | ― | From のドメインが、SPFかDKIMのドメインと一致する | | 配信の停止 | ― | 宣伝や購読のメールは、ワンクリックでの配信停止に対応する | | 迷惑メールの報告の割合 | 0.3%未満に保つ | 0.3%未満に保つ | Googleは、Gmailの個人のアカウントに1日に5,000通を超えて送る送信者を、大量に送る送信者としています。 出典：[メール送信者のガイドライン（Gmail ヘルプ）](https://support.google.com/mail/answer/81126)／[Sender Best Practices（Yahoo Sender Hub）](https://senders.yahooinc.com/best-practices) 大量に送っていない会社でも、取引先や顧客がこれらのサービスを使っていれば、認証が整っていないメールは迷惑メールと判断されやすくなります。届くべきメールを届けるためにも、設定を確かめておく意味があります。 ## 設定の順番 設定は、送信元を洗い出す、SPFとDKIMを整える、DMARCを監視から始める、レポートを見て段階的に強める、の順で進めます。いきなり受け取らない設定（reject）にすると、洗い出し漏れの送信元から送った本物のメールまで届かなくなるおそれがあります。 1. **送信元を洗い出す**：社員のメール、メールの配信サービス、問い合わせのフォームや予約のシステム、請求書を送るサービスなど、自社のドメインで送っているものをすべて一覧にします 2. **SPFを整える**：洗い出した送信元をSPFの記述にまとめます。SPFの記述は1つのドメインに1つだけにします 3. **DKIMを設定する**：送信元ごとに、DKIMの署名を有効にし、鍵をDNSに登録します 4. **DMARCを監視（none）で始める**：レポートの受け取り先を決め、ポリシーをnoneにして公開します 5. **レポートを見て強める**：本物の送信元がすべて合格していることを確かめてから、quarantine、rejectへと段階的に強めます メールを送らないドメインも、なりすましに使われないよう、送らないことを宣言する設定をしておくと安心です。 ## 運用で気をつけること 設定した後も、新しいサービスを使い始めるたびに、送信元の追加が要るかを確かめます。営業や採用の部署が、情報システムの担当に知らせずにメールの配信サービスを使い始めると、その送信元のメールが認証に合格せず、届かなくなることがあります。 DMARCのレポートは、機械で読む形式で届くため、そのままでは読みにくいものです。レポートをまとめて表示するサービスを使うか、担当を決めて定期的に確かめます。なりすましのメールが送られていることに、レポートで気づける場合もあります。 メールの認証は、自社のドメインを名乗るなりすましを減らす仕組みです。似たドメインを取って送ってくる手口や、乗っ取られた本物のアカウントからのメールは防げないため、社員の訓練や[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)と組み合わせます。社員の訓練の考え方は、[標的型攻撃メール・フィッシングへの備えと訓練](https://www.ameliatechnology.co.jp/blog/phishing-drill/)で説明しています。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、自社のドメインから送っているメールの洗い出し、SPF・DKIM・DMARCの設定の確認、レポートの見方づくりをご支援しています。問い合わせのフォームなど、システムから送るメールの設定は、[Webシステム開発](https://www.ameliatechnology.co.jp/service/web-system/)のチームと一緒に見直します。まずは無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)で、備えの状況を確かめることもできます。 - メールの認証 - DMARC - なりすまし - フィッシング ## この記事に出てくる用語 - [SPF](https://www.ameliatechnology.co.jp/glossary/spf/) - [DKIM](https://www.ameliatechnology.co.jp/glossary/dkim/) - [DMARC](https://www.ameliatechnology.co.jp/glossary/dmarc/) - [ドメイン](https://www.ameliatechnology.co.jp/glossary/domain/) - [フィッシング](https://www.ameliatechnology.co.jp/glossary/phishing/) - [ビジネスメール詐欺（BEC）](https://www.ameliatechnology.co.jp/glossary/bec/) - [サーバー](https://www.ameliatechnology.co.jp/glossary/server/) - [DNS](https://www.ameliatechnology.co.jp/glossary/dns/) この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [ゼロトラストの考え方と、中小企業の始め方](https://www.ameliatechnology.co.jp/blog/zero-trust-for-smb/) - [Webアクセシビリティの対応。合理的配慮の義務化と進め方](https://www.ameliatechnology.co.jp/blog/web-accessibility-obligation/) - [発注者が知っておきたいテストの種類と確かめ方](https://www.ameliatechnology.co.jp/blog/testing-for-buyers/) [Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 業務で使うWebシステムをつくる 社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。 [Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「SPF・DKIM・DMARCとは。なりすましメールへの対策｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/email-authentication-spf-dkim-dmarc/