DKIM

すべてのメールに封印を

DKIMを封ろうのように考えてください。メールサービスは、自分だけが持つ秘密鍵で送信メールに署名します。利用者は対応する公開鍵をDNSに公開します。受信サーバーは署名を読み、公開鍵を調べ、両者が一致するか確認します。一致すれば、そのメールは本物で、送信後に変更されていないと確認できます。

DNSに追加するもの

公開鍵は、セレクターを含む特別な名前のDNSレコードに置きます。セレクターは、一つのドメインで、たとえばメールサービスごとに複数の鍵を同時に持てるようにするラベルです。名前はselector1._domainkey.example.comのようになり、値は英数字の長い文字列です。代わりにCNAMEレコードを指定するサービスもあり、その場合はサービス側が管理して定期的に更新する鍵を指します。

必ずメールサービスが表示するレコードを正確にコピーしてください。一文字欠けても確認に失敗し、長い値は誤って切り落としやすいものです。非常に長い値を分割するDNSエディターもありますが、サービスが認めていれば問題ありません。

送信サービスごとに鍵を用意する

ドメイン名でメールを送るサービスは、それぞれ独自のDKIM設定が必要なので、サービスが増えるほどレコードも増えます。これは正常です。サービスの利用をやめたら必要だったレコードを削除できますが、もう使われていないと確信できる場合に限ってください。

役立つ理由

署名されたメールは受信トレイに届きやすくなります。受信者は、どのメールが本当にあなたのものかも確認できます。送信を許可する相手を列挙するSPF、方針を定めるDMARCと組み合わせることで、DKIMはあなたの名前を使った本物らしい偽メールの送信を大幅に難しくします。

DKIMとウェブサイト

ウェブサイトとメールは別のものです。メールのレコードを残しておけば、ドメインをサイトへ向けてもDKIMは変わりません。ドメインをサイトへ向けるガイドでは、必要な部分だけを変更する方法を説明しています。