メール認証（SPF/DKIM/DMARC） とは？

SMTPは1982年設計で送信者認証の仕組みがない。Fromアドレスは自由に設定できるから、CEO@example.comを騙るフィッシングメールが簡単に送れてしまう。メール認証は「このメールは本当にexample.comから送られたか」をDNSベースで検証する。2024年からGmailが認証なしメールの受信を厳しく制限したよ

ドメインのDNSに「このドメインからメールを送っていいサーバーのIPアドレス一覧」を登録する（SPFレコード）。受信サーバーは送信元IPがSPFレコードに含まれるか確認。含まれていなければ「なりすましの可能性あり」と判断。v=spf1 include:_spf.google.com -all のように書くよ

送信サーバーがメールヘッダーと本文のハッシュを秘密鍵で署名。受信サーバーがDNSに公開されている公開鍵で署名を検証。署名が正しければ「改ざんされていない」「正当な送信者」と判断。SPFはIPアドレスだけの検証だけど、DKIMはメール本文の改ざん検知もできるのが強みだよ

SPFとDKIMの検証結果を受けて「不合格のメールをどうするか」のポリシーを定義する。none（何もしない、レポートだけ）、quarantine（迷惑メールフォルダに入れる）、reject（受信拒否）の3段階。まずnoneで始めてレポートを確認→問題なければquarantine→最終的にrejectに引き上げるのが安全だよ