DKIM認証を設定してGoogle Workspaceのメール到達率を上げよう

こんにちは。

自分の送ったメールが特定の相手だけに届かない！といった経験は無いでしょうか？

これは、相手のメールサーバーがあなたのメールを「スパムメール」と判断しているから、かもしれません。

日々巧妙に進化するスパムメールに対し、メールサーバー側も日々進化しています。これにより、受信メールサーバーには「スパムっぽいメールは受け取らない」という対策がなされています。

自分のメールがスパムでないことを証明する方法がいくつかあります。今回はそのうちのひとつ「DKIM認証」（ディケーアイエム認証）という方法について解説し、Google Workspaceでの設定方法についてもご紹介します。

なお、メール到達率を上げる方法には「SPF認証」や「DMARC」もあります。Google公式はDKIMに加えてSPFとDMARCの設定も推奨しているため、本記事の「DKIM認証」と下記の「SPF認証」を設定したうえで、DMARCまで設定しておくことをおすすめします（詳しくは記事後半の「SPF・DKIM・DMARCの関係」で解説します）。

Google Workspaceのメールが届かない？メール到達率を上げるSPFレコードを設定しよう

SPF認証やDKIM認証を設定しない場合

はじめに、SPF認証やDKIM認証を使用していない場合のケースをおさらいしておきましょう。これらの仕組みは「送信者認証」と呼ばれます。

送信者認証が無い場合、相手のメールサーバーの挙動により「正しいメールなのに届かない」「スパムメールの送信元になりうる」という2つの問題が起こり得ます。

青のルートは正規のメールですが、送信者認証されていないため、厳しめのスパムチェックを行うサーバーからブロックされるケースです。冒頭の「特定の人だけにメールが届かない」というケースはこちらに当てはまります。

赤のルートは偽物（踏み台）のサーバーを経由して送信されるスパムメールのケースです。こちらは、送信者認証がなされていないため、スパムチェックを行わずに相手にスパムメールが届いてしまっています。

DKIM認証とは？

DKIM（DomainKeys Identified Mail）認証とは、SPF認証と同様に電子メールの送信者がそのメールを正当に送信した証拠を提供する「送信者認証」の手法の一つです。

簡単に言うと「なりすまし」を防ぐ仕組みです。これは、電子メールが改ざんされていないことと、送信元が偽装されていないことを確認するためのものです。

具体的には、DKIM認証では「秘密鍵」と「公開鍵」という一対の鍵を使います。送信側のメールサーバー（Google Workspaceの場合はGoogleのサーバー）が、送信者のドメインに関連付けられた秘密鍵でメールに「署名」を付け、受信側のメールサーバーは、送信者のドメインのDNS（TXTレコード）に公開されている公開鍵でその署名を検証します。これにより、そのメールが本当にそのドメインから送られたものかどうかを確認します。秘密鍵は送信側だけが持ち、DNSに登録するのは公開鍵です。

SPF認証では「IPアドレス」を確認していましたが、DKIM認証ではこの「署名」と「公開鍵」を使ってメールの確認を行います。ドメインのDNSレコードを利用する点ではSPFもDKIMも同じ仕組みです。

受信側のメールサーバは、送信者のドメインから公開鍵を取得して、そのメールのDKIM署名を検証します。この検証により、メールが途中で改ざんされていないこと、そして送信者のドメインが偽装されていないことが確認できます。

これにより、DKIM認証はスパムメールやフィッシング攻撃を防ぐのに役立ちます。

Google WorkspaceでDKIM認証を設定する方法

それでは、Google WorkspaceでDKIM認証を設定していきましょう。

特権管理者のアカウントで管理コンソールにアクセスし、メニューから 「アプリ > Google Workspace > Gmail」を選択します。

「メールの認証」を選択します。

メールの認証ページが表示されます。「選択したドメイン」が対象のメールドメインであることを確認します。

まだDKIM鍵を作成していない場合は、「新しいレコードを生成」をクリックし、次の内容を選んで生成します。

生成すると、DNSに登録する「DNSホストの名前」（セレクタが「google」なら google._domainkey）と、「v=DKIM1」で始まる「TXTレコードの値」（公開鍵）が表示されます。この画面を開いたままの状態にしておきます。

新しいウィンドウで、対象のドメインサービスへログインし、DNSレコード設定画面まで進んでください。DNSレコード設定画面がわからない方は、ドメインの管理者などに問い合わせてください。

Google Workspace 担当者のためのDNS講座

今回は お名前.com で設定を進めていきます。

まず、Google Workspace側の DKIM 認証 の「DNSホストの名前」と「TXTレコードの値」をコピーします。

お名前.com側は、以下の通り値を入力します。

入力したら、「追加」ボタンを押し、「確認画面へ進む」ボタンを押します。確認画面では以下のように表示されているはずです。（VALUEの値はドメインによって異なります。）

問題なければ「設定する」ボタンを押します。これでお名前.com側は設定完了です。

次に、Google Workspaceの画面に戻り、「認証を開始」ボタンを押します。

ページ上部のステータスが「DKIMでメールを認証」に変わりました。Google Workspace側でDKIM署名が有効になった状態です。

ただし、ステータスが変わっただけではまだ完了ではありません。次の手順で、実際に送ったメールでDKIM認証に合格（pass）していることを確認しましょう。

DKIM認証が有効か確認しよう（dkim=pass の確認）

実際のメールに署名が追加され、DKIM認証に合格しているかを確認します。DKIM認証を設定したドメインのアドレスから、自分以外の、GmailまたはGoogle Workspaceを使っているユーザー宛てにテストメールを送信し、受信側でメールを確認します（自分自身宛てのテストメールでは、DKIMが有効であることを確認できません）。

署名はメールの「メールヘッダ」と呼ばれる部分に格納されています。通常は見えないのですが、メールソフトの「メールヘッダ」や「メールのソース」を表示する機能を使って確認できます。

Gmailでは「︙」メニューから「メッセージのソースを表示」から確認できます。

Gmailでは、上部にSPFとDKIM認証のステータスも確認できます。SPFとDKIMどちらもPASS（認証済）であることがわかります。

下のごちゃごちゃした部分がこのメールのメールヘッダーです。ヘッダーの中から「Authentication-Results」の行を探し、dkim=pass（または DKIM=OK）と表示されていれば、DKIM認証の設定は完了です。

また、「DKIM-Signature:」の部分が今回追加されたDKIM認証の署名です。

これは送信元であるGoogle Workspaceのメールサーバーが秘密鍵を使って追加します。受信サーバーは、DNSのTXTレコードに公開されている「公開鍵」を使ってこの署名を検証し、署名が正しいかどうか判断します。

SPF・DKIM・DMARCの関係

DKIMだけでなく、SPFとDMARCもあわせて設定しておくのがおすすめです。3つの役割は次のとおりです。

Googleのメール送信者のガイドラインでは、個人用Gmailアカウント宛てにメールを送るすべての送信者にSPFまたはDKIMの設定が求められ、個人用Gmailアカウント宛てに1日5,000通を超えるメールを送る送信者（一括送信者）には、SPF・DKIM・DMARCの3つすべての設定が必須とされています。

DMARCは、SPFとDKIMの設定が終わってから追加します。DMARCレコードの概要はGoogle Workspace 担当者のためのDNS講座の「TXTレコード」の項目で、具体的な設定手順はGoogle公式ヘルプのDMARC を設定するで確認できます。

まとめ

本記事では、メール送信者の認証手法としての「DKIM認証」について、Google Workspaceでの鍵の生成からDNSへの登録、認証の開始、dkim=passの確認までを解説しました。

DNSレコードを設定するので少し難しく感じるかもしれませんが、今回ご紹介した手順通りに行えばそれほど難しくはありません。

メール到達率を上げるため、SPF認証とDKIM認証はセットで登録し、そのうえでDMARCも設定しておくことをおすすめします。