Google Workspace管理者向け DNS設定ガイド（後編）

1.SPF

SPF（Sender Policy Framework）は、業界標準のメール認証方式です。この認証方式はドメインをなりすましから保護し、そのメールが迷惑メールに分類されにくくするための手段の一つです。

SPFが最低限設定されていないと、個人向けGmail宛のメールは受信すらしてもらえなくなってしまうため、現在ではほぼ必須とも言える設定です。この設定を誤ると受信側で迷惑メールとして分類されることがあるため非常に重要です。

基本的な書き方は　v=spf1 <送信サーバーのリスト> ~all　となります。レコードの形式はTXTになります。

本レコードの値を決める上で検討すべき事項は

• どのメールサーバーから送信するのか？
• 記載しなかったメールサーバーから送信されたメールの取り扱い

この2点を考える必要があります。以下設定例です。

※環境によって異なります

SPFレコードの追加が完了すると、SPFの範囲内から送信されたメールは正規のメール、範囲外から送られたものはスパム疑いのあるメールと区別されるようになります。

・”~all” と ”-all” 　どちらにするか？

ここは議論が分かれるところです。違いはたった一文字ですが意味合いが大きく違います。

Googleは~allですがMicrosoft365は-allを例示しています。

Microsoft 365 のカスタム ドメインの SPF TXT レコード

どちらが正しいというのは難しいのですが、判断の指針としては以下の通りです。

 -allはを自ドメインから送信するメールは指定した範囲からしか送らない、外れたところから送ったものは全部スパム扱いで良いというYes / Noをはっきりさせる厳しいレベルの設定になります。全てのメール送信元をきちんと管理してDNSとの整合性を維持できる運用ができていれば問題ございませんし、セキュリティという観点でいうと “-”の方がより好ましいのは間違いございません。ただ、SPF登録漏れに起因して正規のメールをスパムと誤判定される方がリスクかと思いますので現場実務で考えると 少なくとも最初は ~all の方が無難かと考えています。

2.DKIM

こちらから難易度が一気に上がってきます。

DKIM（DomainKeys Identified Mail）とは送信メールに電子署名を付与し、なりすましや改ざんを検知するための仕組みです。

すべての送信メールにデジタル署名を追加することで配送の途中でメールが改ざんされていないことを保証します。おさらいになりますがSPFは、送信者ドメインのなりすましを防ぐための技術です。送信ドメインから送信されるメールのIPアドレスを制限することで、なりすましメールを排除します。そのためDKIMと比べて、設定が簡単で普及率が高いというメリットがある一方で内容の改ざんがされていたとしてもIPが正しければ、正しいメールとして認識されてしまうという弱点があります。

現時点で導入事例は多くはありませんがGmailの送信者ガイドラインで大量送信者は必須化されたことに伴い今後はSPFと同様必須化していくのではないかと考えています。

DKIM署名は、秘密鍵と公開鍵のペアによって暗号化/復号化されます。DKIM署名を暗号化する秘密鍵は、送信サーバーによって提供されます。DKIM 署名を復号する公開鍵は、公開 DNS サーバーに格納する必要があります。DNSの観点では送信者が追加したデジタル署名を復号するための公開鍵をDNSに登録します。 

DKIMの設定手順詳細は以下公式ヘルプをご参照ください。