DKIM とは？

SPFは送信元IPが、その認証に使うドメインからの送信を許可されているかを確認する。DKIMはメールに付いた署名を検証するよ。役割が違うので組み合わせて使う。ただし、どちらもそれだけで表示上の差出人本人や、メールの内容の安全性を証明するものではないんだ。

送信側が秘密鍵を守り、対応する公開鍵をDNSのTXTレコードに登録する。対象のヘッダーと本文から計算して、DKIM-Signatureヘッダーへ署名を入れるよ。受信側は署名のd=（ドメイン）とs=（セレクタ）から公開鍵を探して検証するんだ。

署名で対象にした範囲の変更を確かめるよ。すべてのヘッダーが必ず対象になるわけではなく、空白などの扱いをそろえる規則もある。転送やメーリングリストで対象の内容が変わると、署名検証に失敗することがあるんだ。セレクタは鍵の切替にも使うよ。

DMARCでは、SPFかDKIMの認証に成功したドメインが、Fromのドメインと定められた条件で対応しているかも見る。そのどちらかを満たせば認証を通過するよ。失敗時の扱いも示せる。p=noneは隔離や拒否を求めず、レポートを設定して運用の確認に使えるんだ。

Googleの個人向けGmail宛ての要件では、一般の送信者はSPFまたはDKIM、大量送信者はSPF・DKIM・DMARCが必要と区別されているよ。大量送信者の判定は、24時間内に同じ主ドメインから約5,000通以上。一度該当すると継続してその扱いになる。DMARCはnoneでもよく、認証を設定すれば必ず届くという保証でもないんだ。